Przewodnik po API WEEX: Konfiguracja, wywołania, uprawnienia i bezpieczeństwo

Jeśli chcesz, aby kod pobierał ceny, składał zlecenia i zarządzał Twoim kontem, pierwszą rzeczą, którą musisz zrobić poprawnie, jest zrozumienie, w jaki sposób API WEEX jest otwierane, wywoływane oraz – co najważniejsze – jak definiowane są jego uprawnienia. API WEEX to zestaw interfejsów programistycznych, które WEEX udostępnia programistom i traderom ilościowym, oferując dostęp zarówno przez REST, jak i WebSocket, dzięki czemu możesz pobierać dane rynkowe, składać i anulować zlecenia oraz sprawdzać konta bez patrzenia na ekran. Ten przewodnik śledzi jeden wątek – czym to jest, jak tego używać, jak to wywoływać i czy jest to bezpieczne – oraz skupia się na części, którą większość samouczków pomija: uprawnienia i bezpieczeństwo API, czyli dokładnie tam, gdzie najczęściej pojawiają się problemy z funduszami.

Wszystkie poniższe parametry interfejsu pochodzą z oficjalnej dokumentacji API WEEX i odzwierciedlają informacje publiczne na lipiec 2026 r. Zasady API mogą ulec zmianie, więc przed integracją sprawdź je w centrum dla programistów.

Czym jest API WEEX: Szybka mapa możliwości

W jednym zdaniu: API WEEX to kanał, który pozwala kodowi obsługiwać Twoje konto, podzielony na "publiczny" i "prywatny". Publiczne punkty końcowe zwracają dane rynkowe i konfigurację systemu i nie wymagają uwierzytelniania; prywatne punkty końcowe obsługują składanie zleceń, anulowanie i zarządzanie kontem, a każde żądanie musi być podpisane. Po stronie produktu obejmuje zarówno rynek spot, jak i kontrakty terminowe z depozytem zabezpieczającym w USDT dla ponad 100 aktywów.

Wybór między REST a WebSocket sprowadza się do tego, czy chcesz "zapytać raz", czy "stale nasłuchiwać". Sprawdź saldo lub wyślij pojedyncze zlecenie przez REST; aby otrzymywać ceny na żywo, zmiany głębokości lub realizacje zleceń, utrzymuj połączenie WebSocket — jest to prostsze i bardziej aktualne.

Jak uzyskać klucz API WEEX

Zaloguj się na platformę internetową WEEX i utwórz klucz na stronie zarządzania API. System generuje trzy elementy jednocześnie i potrzebujesz wszystkich trzech:

• APIKey — algorytmicznie wygenerowany identyfikator, w zasadzie Twoja "nazwa użytkownika".
• SecretKey — wydany przez system klucz prywatny używany do podpisywania każdego żądania.
• Passphrase — fraza dostępu, którą definiujesz samodzielnie. Pamiętaj: jeśli Passphrase zostanie utracone, nie można go odzyskać — musisz usunąć grupę kluczy i utworzyć nową.

Każde konto może utworzyć do 10 grup kluczy API, co pozwala na wydawanie osobnych kluczy dla każdej strategii i środowiska. Dwa wybory podczas tworzenia ustalają poziom bezpieczeństwa klucza: zaznaczone uprawnienia (następna sekcja) i powiązany adres IP. WEEX wyraźnie zaznacza, że klucz "nieograniczony" bez powiązania IP stanowi zagrożenie bezpieczeństwa — jeśli adres IP Twojego serwera jest stały, wypełnij białą listę IP.

Uprawnienia API WEEX: Gdzie kończy się tryb tylko do odczytu, a zaczyna handel

To sekcja, którą warto przeczytać dwa razy. Nowo utworzony klucz API domyślnie ma uprawnienia "Tylko do odczytu". Aby handlować przez API, musisz ręcznie włączyć odpowiednie uprawnienie do handlu "Spot". Zbyt duże uprawnienia oznaczają większą stratę w przypadku wycieku klucza; zbyt małe sprawią, że strategia nie zadziała. Zasada jest jedna: przyznaj minimum, którego strategia faktycznie potrzebuje.

Jeden szczegół, który łatwo przeoczyć, ale który ma znaczenie dla bezpieczeństwa: na lipiec 2026 r. uprawnienia wymienione w dokumentach szybkiego startu API spot WEEX to dokładnie te dwa — Tylko do odczytu i Handel Spot — bez osobnego przełącznika "wypłaty". Dla większości strategii to funkcja, a nie luka: nawet jeśli klucz wycieknie, osoba go posiadająca nie może bezpośrednio wypłacić aktywów. Traktuj opcje wyświetlane na Twojej rzeczywistej stronie tworzenia klucza jako jedyne źródło prawdy.

Jak wywoływać: Czego potrzebuje podpisane żądanie

Cała bariera dla prywatnych punktów końcowych to krok "podpisywania". WEEX generuje podpisy za pomocą HMAC SHA256: zaszyfruj ciąg przed podpisaniem za pomocą swojego SecretKey, a następnie zakoduj wynik w Base64. Ciąg przed podpisaniem jest składany w ustalonej kolejności:

timestamp + method (wielkie litery) + requestPath + "?" + queryString + body

queryString jest pomijany, gdy jest pusty. Weźmy jako przykład żądanie głębokości GET: /api/v3/market/depth?symbol=BTCUSDT&limit=20 z timestampem 1591089508404 tworzy ciąg przed podpisaniem 1591089508404GET/api/v3/market/depth?symbol=BTCUSDT&limit=20.

Po podpisaniu każde prywatne żądanie zawiera cztery nagłówki:

Prywatne kanały WebSocket działają w ten sam sposób — podpisz timestamp plus ścieżkę żądania /v3/ws/private, aby się zalogować. Punkt, w którym większość początkujących utyka, to nie krypto, a timestamp: jeśli timestamp Twojego żądania odbiega od czasu serwera o więcej niż 30 sekund, żądanie jest odrzucane. Zły zegar lokalny lub nieaktualny timestamp w pamięci podręcznej spowoduje niewytłumaczalny błąd 401. Synchronizacja czasu NTP przed uruchomieniem na żywo oszczędza połowę czasu debugowania. Pełne pola i przykłady znajdują się w oficjalnym dokumencie przygotowania do integracji oraz w referencji podpisu.

Limity stawek i zasady dostępu, które warto znać

Nie możesz wywoływać tak szybko, jak chcesz. Domyślny limit to 10 żądań/sekundę, przy czym niektóre punkty końcowe określają własne limity w swojej dokumentacji; przekroczenie limitu zwraca 429 Zbyt wiele żądań. Pamiętaj o podstawie liczenia: uwierzytelnione żądania są mierzone na klucz API, nieuwierzytelnione na publiczny adres IP — co oznacza, że kilka skryptów tylko do odczytu na jednym serwerze współdzielących wychodzący adres IP może wzajemnie wypierać się z limitu dla publicznych punktów końcowych.

Warto zapamiętać jedną zasadę przetwarzania wsadowego: zlecenie wsadowe obejmujące 4 pary handlowe z 10 zleceniami każda liczy się jako jedno żądanie. Grupowanie zleceń pozwala strategii o wysokiej częstotliwości zwiększyć przepustowość i jednocześnie zaoszczędzić limit.

Czy API WEEX jest bezpieczne? Oddziel to, co kontrolowalne, od tego, co nie

"Czy to jest bezpieczne" zasługuje na lepszą odpowiedź niż tak/nie. Po stronie platformy otrzymujesz podpisane uwierzytelnianie, powiązanie IP, warstwowe uprawnienia i ochronę przed powtórzeniem opartą na timestampie. Jednak w scenariuszach API większość incydentów ma miejsce po stronie użytkownika — klucze przechowywane niedbale, uprawnienia o zbyt szerokim zakresie, poświadczenia zakodowane na sztywno w kodzie front-endu lub publicznym repozytorium. Część kontrolowalna jest całkowicie w Twoich rękach:

• Ogranicz uprawnienia do minimum; strategia tylko do odczytu nigdy nie powinna mieć uprawnień do handlu.
• Powiąż stały adres IP z każdym kluczem — żadnych nieograniczonych kluczy.
• Przechowuj SecretKey i Passphrase w zmiennych środowiskowych lub menedżerze sekretów, nigdy nie koduj ich na sztywno w kodzie po stronie klienta ani nie commituj do Git.
• Używaj różnych kluczy do programowania i produkcji, aby nie mogły się wzajemnie zanieczyścić.
• Rotuj klucze zgodnie z harmonogramem, a w momencie zauważenia nietypowych wywołań usuń klucz na platformie internetowej — klucz można unieważnić i odbudować w dowolnym momencie, co jest najszybszym sposobem na zatrzymanie wycieku.
• Włącz monitorowanie i alerty dotyczące aktywności konta i wolumenu wywołań, aby nietypowa częstotliwość lub zlecenia natychmiast się ujawniły.

Aby uzyskać szerszy przegląd możliwości i odpowiedzi na częste pytania, zobacz wyjaśnienie WEEX na temat tego, czy WEEX obsługuje handel przez API. Zastosuj powyższą listę kontrolną, a bezpieczeństwo API WEEX będzie zależeć głównie od higieny Twoich kluczy, a nie od czegoś tajemniczego.

Wersja skrócona

Ścieżka do API WEEX jest w rzeczywistości przejrzysta: utwórz klucz API z minimalnymi uprawnieniami na platformie internetowej (domyślnie tylko do odczytu, handel włączany ręcznie), zbierz trio APIKey / SecretKey / Passphrase i powiąż adres IP; podczas wywoływania prywatnych punktów końcowych podpisuj za pomocą HMAC SHA256 w ustalonym formacie, wyślij wszystkie cztery nagłówki i przestrzegaj 30-sekundowego okna czasowego oraz limitu 10 żądań na sekundę; na koniec zadbaj o higienę kluczy, zasadę najmniejszych uprawnień, białą listę IP i alerty. Aby zacząć praktycznie, uruchom swoje pierwsze żądanie do publicznych punktów końcowych rynku w centrum dla programistów WEEX, a następnie dodaj prywatne składanie zleceń.

FAQ

1. Czy WEEX obsługuje handel przez API?

Tak. WEEX oferuje interfejsy REST i WebSocket do zautomatyzowanych danych rynkowych, składania i anulowania zleceń oraz zarządzania kontem, na rynku spot i kontraktach terminowych z depozytem zabezpieczającym w USDT — odpowiednie dla botów ilościowych, gridowych i market-makingowych.

2. Ile kluczy API może utworzyć jedno konto?

Do 10 grup. Najlepiej podzielić je według strategii i środowiska — klucz monitorujący tylko do odczytu, klucz do handlu spot, klucz do programowania/testów — aby działały niezależnie i można je było unieważnić indywidualnie.

3. Co jeśli zapomnę Passphrase?

Nie można go odzyskać. Passphrase to fraza, którą definiujesz przy tworzeniu, a system nie przechowuje jej w postaci jawnej. Jeśli zostanie utracona, usuń tę grupę kluczy API i utwórz nową.

4. Dlaczego moje prywatne żądania są ciągle odrzucane?

Najczęstszą przyczyną jest timestamp. Jeśli timestamp Twojego żądania odbiega od czasu serwera WEEX o więcej niż 30 sekund, jest odrzucany — najpierw zsynchronizuj swój zegar lokalny. Następnie sprawdź kolejność ciągu przed podpisaniem, czy nazwa metody jest wielkimi literami i czy obecne są wszystkie cztery nagłówki.

5. Jeśli mój klucz API wycieknie, czy atakujący może wypłacić moje monety?

W przypadku API spot ryzyko jest stosunkowo ograniczone — na lipiec 2026 r. udokumentowane uprawnienia to tylko Tylko do odczytu i Handel Spot, bez osobnego uprawnienia do wypłaty. Mimo to natychmiast usuń wyciekły klucz na platformie internetowej i sprawdź, czy nie ma nietypowych zleceń.

6. Czy istnieją limity stawek dla wywołań?

Tak. Domyślny limit to 10 żądań/sekundę; przekroczenie zwraca 429. Uwierzytelnione żądania są liczone na klucz API, a nieuwierzytelnione na adres IP. Zlecenie wsadowe (np. 4 pary z 10 zleceniami każda) liczy się jako jedno żądanie, co strategie o wysokiej częstotliwości mogą wykorzystać do oszczędzania limitu.

Ostrzeżenie o ryzyku

Aktywa cyfrowe są wysoce zmienne, a handel programowy przez API może zwiększyć, a nie zmniejszyć ryzyko, potencjalnie prowadząc do częściowej lub całkowitej utraty kapitału. Ryzyka specyficzne dla handlu przez API obejmują kradzież lub nieautoryzowane zlecenia z wyciekłego klucza, kaskadowe błędne zlecenia z powodu błędu w logice kodu, nieudane zlecenia z powodu opóźnień sieci lub dryfu timestampu, ograniczenie szybkości przez przekroczenie limitów wywołań i przegapienie rynku oraz ryzyko likwidacji przy dźwigni finansowej na kontraktach terminowych. Zawsze ograniczaj klucze do najmniejszych uprawnień, powiązuj adres IP, chroń swój SecretKey i Passphrase oraz przetestuj dokładnie w małym środowisku przed uruchomieniem na żywo. Ten artykuł jest jedynie technicznym przewodnikiem integracyjnym i nie stanowi porady inwestycyjnej.