Guía de la API de WEEX: Configuración, llamadas, permisos y seguridad

Si desea que el código obtenga precios, realice órdenes y gestione su cuenta por usted, lo primero que debe hacer correctamente es cómo se abre, se llama y, sobre todo, cómo se definen los permisos de la API de WEEX. La API de WEEX es un conjunto de interfaces de programación que WEEX abre a desarrolladores y traders cuantitativos, exponiendo acceso tanto REST como WebSocket para que pueda obtener datos de mercado, colocar y cancelar órdenes, y consultar cuentas sin mirar una pantalla. Esta guía sigue un hilo: qué es, cómo usarla, cómo llamarla y si es segura, y dedica su peso a la parte que la mayoría de los tutoriales pasan por alto: permisos y seguridad de la API, que es exactamente donde los fondos tienden a correr peligro.

Todos los parámetros de interfaz a continuación provienen de la documentación oficial de la API de WEEX y reflejan información pública a julio de 2026. Las reglas de la API pueden cambiar, así que confirme con el centro de desarrolladores en vivo antes de integrar.

Qué es la API de WEEX: Un mapa rápido de capacidades

En una línea: la API de WEEX es el canal que permite que el código opere su cuenta, dividido en "público" y "privado". Los endpoints públicos devuelven datos de mercado y configuración del sistema y no necesitan autenticación; los endpoints privados gestionan la colocación de órdenes, cancelación y gestión de cuentas, y cada solicitud debe estar firmada. En el lado del producto, cubre tanto spot como futuros con margen en USDT en más de 100 activos.

Elegir entre REST y WebSocket se reduce a si desea "preguntar una vez" o "seguir escuchando". Verifique un saldo o envíe una sola orden a través de REST; para recibir ticks de precios en vivo, cambios de profundidad o ejecuciones de órdenes, mantenga una conexión WebSocket: es más simple y oportuno.

Cómo obtener su clave API de WEEX

Inicie sesión en la plataforma web de WEEX y cree una clave desde la página de gestión de API. El sistema genera tres cosas a la vez, y necesita las tres:

• APIKey: un identificador generado algorítmicamente, efectivamente su "nombre de usuario".
• SecretKey: la clave privada emitida por el sistema utilizada para firmar cada solicitud.
• Passphrase: una frase de acceso que usted mismo define. Tenga esto en cuenta: si se pierde la Passphrase, no se puede recuperar; debe eliminar el grupo de claves y crear uno nuevo.

Cada cuenta puede crear hasta 10 grupos de claves API, lo que le permite emitir claves separadas por estrategia y por entorno. Dos opciones en la creación establecen el nivel de seguridad de una clave: los permisos que marque (siguiente sección) y la IP que vincule. WEEX señala explícitamente que una clave "sin restricciones" sin vinculación de IP es un riesgo de seguridad; si la IP de su servidor es fija, complete la lista blanca de IP.

Permisos de la API de WEEX: Donde el modo lectura y el trading se detienen

Esta es la sección para leer dos veces. Una clave API recién creada tiene como valor predeterminado "Solo lectura". Para operar a través de la API, debe habilitar manualmente el permiso de trading "Spot" correspondiente. Demasiado permiso significa una pérdida mayor si la clave se filtra; muy poco y la estrategia no puede ejecutarse. La regla es una línea: otorgue el mínimo que la estrategia realmente necesita.

Un detalle que es fácil pasar por alto pero que importa para la seguridad: a julio de 2026, los permisos enumerados en los documentos de inicio rápido de la API spot de WEEX son exactamente estos dos (Solo lectura y Trading Spot), sin un interruptor de "retiro" separado. Para la mayoría de las estrategias, eso es una característica, no una brecha: incluso si una clave se filtra, quien la tenga no puede retirar activos directamente. Trate las opciones que se muestran en su página real de creación de claves como la fuente de la verdad.

Cómo llamarla: Lo que necesita una solicitud firmada

Toda la barrera para los endpoints privados es el paso de "firmar". WEEX genera firmas con HMAC SHA256: encripte la cadena previa a la firma con su SecretKey, luego codifique el resultado en Base64. La cadena previa a la firma se ensambla en un orden fijo:

timestamp + method (mayúsculas) + requestPath + "?" + queryString + body

La queryString se omite cuando está vacía. Tome una solicitud de profundidad GET como ejemplo: /api/v3/market/depth?symbol=BTCUSDT&limit=20 con timestamp 1591089508404 produce la cadena previa a la firma 1591089508404GET/api/v3/market/depth?symbol=BTCUSDT&limit=20.

Una vez firmada, cada solicitud privada lleva cuatro encabezados:

Los canales privados de WebSocket funcionan de la misma manera: firme el timestamp más la ruta de solicitud /v3/ws/private para iniciar sesión. El punto en el que la mayoría de los principiantes se atascan no es el cripto, es el timestamp: si el timestamp de su solicitud se desvía de la hora del servidor por más de 30 segundos, la solicitud es rechazada directamente. Un reloj local incorrecto o un timestamp en caché obsoleto arrojarán un 401 inexplicable. Sincronizar la hora NTP antes de salir a producción ahorra la mitad de la depuración. Los campos completos y ejemplos están en el documento oficial de preparación de integración y la referencia de firma.

Límites de tasa y reglas de acceso que vale la pena conocer

No puede llamar tan rápido como quiera. El límite predeterminado es de 10 solicitudes/segundo, con algunos endpoints indicando sus propios límites en sus documentos; excederlo devuelve 429 Demasiadas solicitudes. Tenga en cuenta la base de conteo: las solicitudes autenticadas se miden por clave API, las no autenticadas por IP pública, lo que significa que varios scripts de solo lectura en un servidor que comparten una IP de salida pueden desplazarse entre sí de la cuota de endpoints públicos.

Vale la pena recordar una regla de procesamiento por lotes: una orden por lotes que abarca 4 pares de trading con 10 órdenes cada una cuenta como una sola solicitud. Agrupar órdenes permite que una estrategia de alta frecuencia aumente el rendimiento y conserve la cuota al mismo tiempo.

¿Es segura la API de WEEX? Separe lo controlable de lo que no

"¿Es segura?" merece algo mejor que un sí/no. En el lado de la plataforma, obtiene autenticación firmada, vinculación de IP, permisos escalonados y protección contra reproducción basada en timestamp. Pero en escenarios de API, la mayoría de los incidentes ocurren del lado del usuario: claves almacenadas descuidadamente, permisos con un alcance demasiado amplio, credenciales integradas en un front-end o un repositorio público. La parte controlable está completamente en sus manos:

• Limite los permisos al mínimo; una estrategia de solo lectura nunca debe tener permiso de trading.
• Vincule una IP fija a cada clave: no use claves sin restricciones.
• Mantenga la SecretKey y la Passphrase en variables de entorno o en un gestor de secretos, nunca codificadas en el código del lado del cliente ni confirmadas en Git.
• Use claves diferentes para desarrollo y producción para que no puedan contaminarse entre sí.
• Rote las claves según un cronograma, y en el momento en que vea llamadas anormales, elimine la clave en la plataforma web: una clave puede ser revocada y reconstruida en cualquier momento, y esa es la forma más rápida de detener el sangrado.
• Ponga monitoreo y alertas sobre la actividad de la cuenta y el volumen de llamadas para que la frecuencia o las órdenes inusuales aparezcan de inmediato.

Para obtener una visión general más amplia de las capacidades y preguntas comunes, consulte el explicador de WEEX sobre si WEEX admite trading por API. Obtenga la lista de verificación anterior correctamente, y la seguridad de la API de WEEX se reduce principalmente a la higiene de sus claves en lugar de algo misterioso.

La versión corta

El camino a la API de WEEX es realmente limpio: cree una clave API con permisos mínimos en la plataforma web (Solo lectura por defecto, trading habilitado manualmente), recopile el trío APIKey / SecretKey / Passphrase, y vincule una IP; al llamar a endpoints privados, firme con HMAC SHA256 en el formato fijo, envíe los cuatro encabezados, y respete la ventana de timestamp de 30 segundos y el límite de 10 solicitudes por segundo; finalmente, bloquee la higiene de las claves, los permisos de menor privilegio, la lista blanca de IP y las alertas. Para comenzar, ejecute su primera solicitud contra los endpoints de mercado públicos en el centro de desarrolladores de WEEX, luego agregue la colocación de órdenes privadas.

Preguntas frecuentes

1. ¿WEEX admite trading por API?

Sí. WEEX ofrece interfaces REST y WebSocket para datos de mercado automatizados, colocación y cancelación de órdenes, y gestión de cuentas, en spot y futuros con margen en USDT, adecuados para bots cuantitativos, de grid y de creación de mercado.

2. ¿Cuántas claves API puede crear una cuenta?

Hasta 10 grupos. Es mejor dividirlos por estrategia y entorno (una clave de monitor de solo lectura, una clave de trading spot, una clave de dev/test) para que se ejecuten de forma independiente y puedan ser revocadas individualmente.

3. ¿Qué pasa si olvido la Passphrase?

No se puede recuperar. La Passphrase es una frase que usted define en la creación, y el sistema no la almacena en texto plano. Si se pierde, elimine ese grupo de claves API y cree uno nuevo.

4. ¿Por qué mis solicitudes privadas siguen siendo rechazadas?

La causa más común es el timestamp. Si el timestamp de su solicitud se desvía de la hora del servidor de WEEX por más de 30 segundos, es rechazado: sincronice su reloj local primero. Luego verifique el orden de la cadena previa a la firma, que el nombre del método esté en mayúsculas y que los cuatro encabezados estén presentes.

5. Si mi clave API se filtra, ¿puede un atacante retirar mis monedas?

Para la API spot, el riesgo es relativamente contenido: a julio de 2026, los permisos documentados son solo Solo lectura y Trading Spot, sin permiso de retiro independiente. Aun así, elimine la clave filtrada en la plataforma web de inmediato y verifique si hay órdenes anormales.

6. ¿Existen límites de tasa en las llamadas?

Sí. El límite predeterminado es de 10 solicitudes/segundo; excederlo devuelve 429. Las solicitudes autenticadas se cuentan por clave API y las no autenticadas por IP. Una orden por lotes (ej. 4 pares con 10 órdenes cada uno) cuenta como una solicitud, que las estrategias de alta frecuencia pueden usar para ahorrar cuota.

Advertencia de riesgo

Los activos digitales son altamente volátiles, y el trading programático a través de una API puede amplificar en lugar de reducir el riesgo, lo que puede llevar a una pérdida parcial o total del capital. Los riesgos específicos del trading por API incluyen robo u órdenes no autorizadas de una clave filtrada, órdenes erróneas en cascada por un error de lógica de código, órdenes fallidas por latencia de red o deriva de timestamp, ser limitado por exceder los límites de llamadas y perder el mercado, y riesgo de liquidación bajo apalancamiento de futuros. Siempre limite las claves al menor privilegio, vincule una IP, proteja su SecretKey y Passphrase, y pruebe exhaustivamente en un entorno de tamaño pequeño antes de salir a producción. Este artículo es solo una guía de integración técnica y no es un consejo de inversión.