คู่มือ WEEX API: การตั้งค่า การเรียกใช้ สิทธิ์ และความปลอดภัย

หากคุณต้องการให้โค้ดดึงราคา ส่งคำสั่งซื้อ และจัดการบัญชีแทนคุณ สิ่งแรกที่ต้องทำความเข้าใจให้ถูกต้องคือวิธีเปิดใช้ เรียกใช้ และที่สำคัญที่สุดคือการกำหนดขอบเขตสิทธิ์ของ WEEX API โดย WEEX API คือชุดอินเทอร์เฟซการเขียนโปรแกรมที่ WEEX เปิดให้นักพัฒนาและนักเทรดควอนต์ใช้งาน รองรับทั้ง REST และ WebSocket เพื่อให้คุณดึงข้อมูลตลาด ส่งและยกเลิกคำสั่งซื้อ รวมถึงตรวจสอบบัญชีได้โดยไม่ต้องเฝ้าหน้าจอ คู่มือนี้จะอธิบายเป็นลำดับเดียวกันตั้งแต่ว่าคืออะไร ใช้อย่างไร เรียกใช้อย่างไร และปลอดภัยหรือไม่ พร้อมเน้นส่วนที่บทเรียนส่วนใหญ่มักกล่าวถึงเพียงผิวเผิน นั่นคือ สิทธิ์และความปลอดภัยของ API ซึ่งเป็นจุดที่มักทำให้เงินทุนเกิดปัญหา

พารามิเตอร์อินเทอร์เฟซทั้งหมดด้านล่างมาจากเอกสาร API อย่างเป็นทางการของ WEEX และสะท้อนข้อมูลสาธารณะ ณ เดือนกรกฎาคม 2026 กฎของ API อาจเปลี่ยนแปลงได้ ดังนั้นโปรดยืนยันกับศูนย์นักพัฒนาที่ใช้งานอยู่ก่อนเริ่มการเชื่อมต่อ

WEEX API คืออะไร: แผนผังความสามารถฉบับย่อ

สรุปในบรรทัดเดียว: WEEX API คือช่องทางที่เปิดให้โค้ดควบคุมบัญชีของคุณ โดยแบ่งเป็น "สาธารณะ" และ "ส่วนตัว" จุดปลายทางสาธารณะส่งข้อมูลตลาดและการตั้งค่าระบบโดยไม่ต้องยืนยันตัวตน ส่วนจุดปลายทางส่วนตัวใช้จัดการการส่งและยกเลิกคำสั่งซื้อ รวมถึงการจัดการบัญชี และทุกคำขอต้องมีลายเซ็น ในด้านผลิตภัณฑ์ API รองรับทั้งการเทรด Spot และฟิวเจอร์สที่มี USDT เป็นมาร์จิน ครอบคลุมสินทรัพย์มากกว่า 100 รายการ

การเลือก REST หรือ WebSocket ขึ้นอยู่กับว่าคุณต้องการ "ถามครั้งเดียว" หรือ "เปิดรับข้อมูลต่อเนื่อง" ตรวจสอบยอดคงเหลือหรือส่งคำสั่งซื้อครั้งเดียวผ่าน REST ส่วนหากต้องการรับข้อมูลการเปลี่ยนแปลงของราคาสด ความลึกตลาด หรือการจับคู่คำสั่งซื้อ ให้เปิดการเชื่อมต่อ WebSocket ค้างไว้ ซึ่งทั้งง่ายกว่าและรวดเร็วกว่า

วิธีรับ WEEX API Key

เข้าสู่ระบบแพลตฟอร์มเว็บ WEEX แล้วสร้างคีย์จากหน้าการจัดการ API ระบบจะสร้างข้อมูล 3 อย่างพร้อมกัน และคุณต้องมีครบทั้ง 3 อย่าง:

• APIKey — ตัวระบุที่สร้างด้วยอัลกอริทึม ทำหน้าที่เสมือน "ชื่อผู้ใช้" ของคุณ
• SecretKey — คีย์ส่วนตัวที่ระบบออกให้ ใช้ลงนามในแต่ละคำขอ
• Passphrase — วลีสำหรับเข้าถึงที่คุณกำหนดเอง โปรดจำให้ดี: หาก Passphrase สูญหาย จะไม่สามารถกู้คืนได้ — คุณต้องลบกลุ่มคีย์แล้วสร้างกลุ่มใหม่

แต่ละบัญชีสามารถสร้างกลุ่ม API Key ได้สูงสุด 10 กลุ่ม ทำให้คุณออกคีย์แยกตามกลยุทธ์และสภาพแวดล้อมได้ ตัวเลือก 2 อย่างในขั้นตอนการสร้างจะกำหนดระดับความปลอดภัยพื้นฐานของคีย์ ได้แก่ สิทธิ์ที่คุณเลือกเปิดใช้ (หัวข้อถัดไป) และ IP ที่คุณผูกไว้ WEEX ระบุอย่างชัดเจนว่าคีย์แบบ "ไม่จำกัด" ที่ไม่ผูกกับ IP เป็นความเสี่ยงด้านความปลอดภัย หาก IP ของเซิร์ฟเวอร์คุณเป็นแบบคงที่ ให้กรอก IP ลงในรายการอนุญาต

สิทธิ์ WEEX API: ขอบเขตของ Read Only และการเทรด

ควรอ่านส่วนนี้อย่างน้อย 2 ครั้ง API Key ที่สร้างใหม่จะมีค่าเริ่มต้นเป็น "Read Only" หากต้องการเทรดผ่าน API คุณต้องเปิดใช้สิทธิ์การเทรด "Spot" ที่เกี่ยวข้องด้วยตนเอง สิทธิ์ที่มากเกินไปหมายถึงความเสียหายที่อาจเกิดขึ้นจะมากขึ้นหากคีย์รั่วไหล แต่หากมีสิทธิ์น้อยเกินไป กลยุทธ์ก็จะทำงานไม่ได้ หลักการมีเพียงบรรทัดเดียว: มอบสิทธิ์เท่าที่กลยุทธ์ต้องใช้จริงเท่านั้น

มีรายละเอียดหนึ่งที่มองข้ามได้ง่ายแต่สำคัญต่อความปลอดภัย: ณ เดือนกรกฎาคม 2026 สิทธิ์ที่ระบุในเอกสารเริ่มต้นใช้งาน WEEX spot API มีเพียง 2 รายการนี้เท่านั้น ได้แก่ Read Only และ Spot trading โดยไม่มีตัวเลือก "ถอนเงิน" แยกต่างหาก สำหรับกลยุทธ์ส่วนใหญ่ นี่ถือเป็นฟีเจอร์ ไม่ใช่ช่องโหว่ เพราะแม้คีย์จะรั่วไหล ผู้ที่ถือคีย์ก็ไม่สามารถโอนสินทรัพย์ออกไปได้โดยตรง ให้ยึดตัวเลือกที่แสดงอยู่ในหน้าสร้างคีย์จริงของคุณเป็นข้อมูลอ้างอิงหลัก

วิธีเรียกใช้: สิ่งที่คำขอที่มีลายเซ็นหนึ่งรายการต้องมี

อุปสรรคทั้งหมดของจุดปลายทางส่วนตัวอยู่ที่ขั้นตอน "ลงนาม" WEEX สร้างลายเซ็นด้วย HMAC SHA256 โดยเข้ารหัสสตริงก่อนลงนามด้วย SecretKey จากนั้นเข้ารหัสผลลัพธ์เป็น Base64 สตริงก่อนลงนามจะถูกประกอบตามลำดับที่กำหนดตายตัว:

timestamp + method (uppercase) + requestPath + "?" + queryString + body

จะละเว้น queryString เมื่อไม่มีค่า ลองดูตัวอย่างคำขอ GET สำหรับ depth: /api/v3/market/depth?symbol=BTCUSDT&limit=20 โดยมี timestamp เป็น 1591089508404 จะสร้างสตริงก่อนลงนามเป็น 1591089508404GET/api/v3/market/depth?symbol=BTCUSDT&limit=20

เมื่อลงนามแล้ว คำขอส่วนตัวทุกคำขอจะมีเฮดเดอร์ 4 รายการ:

ช่องสัญญาณ Private WebSocket ทำงานในลักษณะเดียวกัน — ลงนาม timestamp ร่วมกับเส้นทางคำขอ /v3/ws/private เพื่อเข้าสู่ระบบ จุดที่ผู้เริ่มต้นส่วนใหญ่ติดขัดไม่ใช่เรื่องคริปโต แต่คือ timestamp: หาก timestamp ของคำขอแตกต่างจากเวลาของเซิร์ฟเวอร์เกิน 30 วินาที คำขอจะถูกปฏิเสธทันที นาฬิกาเครื่องที่ไม่ตรงหรือ timestamp เก่าจากแคชจะทำให้เกิดข้อผิดพลาด 401 ที่อธิบายได้ยาก การซิงค์เวลา NTP ก่อนเปิดใช้งานจริงช่วยลดเวลาการดีบักไปได้ครึ่งหนึ่ง ดูฟิลด์และตัวอย่างทั้งหมดได้ในเอกสารการเตรียมการเชื่อมต่ออย่างเป็นทางการและเอกสารอ้างอิงลายเซ็น

สิ่งที่ควรรู้เกี่ยวกับขีดจำกัดอัตราการเรียกใช้และกฎการเข้าถึง

คุณไม่สามารถเรียกใช้ API ได้เร็วเท่าที่ต้องการ ขีดจำกัดเริ่มต้นคือ 10 คำขอ/วินาที โดยจุดปลายทางบางรายการจะระบุขีดจำกัดของตนเองไว้ในเอกสาร หากเกินขีดจำกัด ระบบจะส่งข้อผิดพลาด 429 Too Many Requests โปรดใส่ใจหลักเกณฑ์การนับด้วย: คำขอที่ยืนยันตัวตนจะนับแยกตาม API Key ส่วนคำขอที่ไม่ยืนยันตัวตนจะนับตาม IP สาธารณะ ซึ่งหมายความว่าสคริปต์แบบ Read Only หลายตัวบนเซิร์ฟเวอร์เดียวกันที่ใช้ IP ขาออกเดียวกันอาจแย่งโควตาของจุดปลายทางสาธารณะจนไม่สามารถเรียกใช้ได้

กฎการรวมคำสั่งซื้ออย่างหนึ่งที่ควรจำไว้คือ แบตช์คำสั่งซื้อที่ครอบคลุม 4 คู่เทรด โดยมีคำสั่งซื้อคู่ละ 10 รายการ จะนับเป็นคำขอเดียว การจัดกลุ่มคำสั่งซื้อช่วยให้กลยุทธ์ความถี่สูงเพิ่มปริมาณการประมวลผลและประหยัดโควตาได้ในเวลาเดียวกัน

WEEX API ปลอดภัยหรือไม่? แยกสิ่งที่ควบคุมได้ออกจากสิ่งที่ควบคุมไม่ได้

คำถามว่า "ปลอดภัยหรือไม่" ควรได้รับคำตอบที่ดีกว่าแค่ใช่หรือไม่ใช่ ในฝั่งแพลตฟอร์ม คุณจะได้รับการยืนยันตัวตนด้วยลายเซ็น การผูก IP สิทธิ์แบบแบ่งระดับ และการป้องกันการเล่นซ้ำโดยอาศัย timestamp แต่ในสถานการณ์ที่ใช้ API เหตุการณ์ส่วนใหญ่เกิดจากฝั่งผู้ใช้ — การจัดเก็บคีย์อย่างไม่ระมัดระวัง การกำหนดสิทธิ์กว้างเกินไป หรือการฝังข้อมูลรับรองไว้ในส่วนหน้าเว็บไซต์หรือคลังโค้ดสาธารณะ สิ่งที่ควบคุมได้ทั้งหมดอยู่ในมือคุณ:

• กำหนดสิทธิ์เท่าที่จำเป็น กลยุทธ์แบบอ่านอย่างเดียวไม่ควรมีสิทธิ์เทรด
• ผูก IP แบบคงที่กับทุกคีย์ — ห้ามใช้คีย์แบบไม่จำกัด
• เก็บ SecretKey และ Passphrase ไว้ใน environment variables หรือ secrets manager ห้ามฮาร์ดโค้ดไว้ในโค้ดฝั่งไคลเอนต์หรือคอมมิตลง Git
• ใช้คีย์คนละชุดสำหรับการพัฒนาและการใช้งานจริง เพื่อไม่ให้ทั้งสองสภาพแวดล้อมปะปนกัน
• หมุนเวียนคีย์ตามกำหนดเวลา และทันทีที่พบการเรียกใช้ผิดปกติ ให้ลบคีย์ในแพลตฟอร์มเว็บ คีย์สามารถเพิกถอนและสร้างใหม่ได้ทุกเมื่อ และนี่คือวิธีหยุดความเสียหายที่รวดเร็วที่สุด
• ตั้งค่าการตรวจสอบและการแจ้งเตือนสำหรับกิจกรรมบัญชีและปริมาณการเรียกใช้ เพื่อให้ตรวจพบความถี่หรือคำสั่งซื้อที่ผิดปกติได้ทันที

สำหรับภาพรวมความสามารถที่กว้างขึ้นและคำถามที่พบบ่อย โปรดดูคำอธิบายของ WEEX เกี่ยวกับการรองรับการเทรดคริปโตผ่าน API ของ WEEX หากทำตามเช็กลิสต์ข้างต้นอย่างถูกต้อง ความปลอดภัยของ WEEX API จะขึ้นอยู่กับการดูแลคีย์ของคุณเป็นหลัก ไม่ใช่เรื่องลึกลับซับซ้อนอื่นใด

สรุปสั้น ๆ

ขั้นตอนเข้าสู่ WEEX API นั้นตรงไปตรงมา: สร้าง API Key พร้อมสิทธิ์ขั้นต่ำบนแพลตฟอร์มเว็บ (ค่าเริ่มต้นเป็น Read Only และต้องเปิดสิทธิ์เทรดด้วยตนเอง) เก็บข้อมูลทั้ง 3 อย่าง ได้แก่ APIKey / SecretKey / Passphrase และผูก IP เมื่อเรียกใช้จุดปลายทางส่วนตัว ให้ลงนามด้วย HMAC SHA256 ตามรูปแบบที่กำหนด ส่งเฮดเดอร์ทั้ง 4 รายการ และปฏิบัติตามช่วงเวลา timestamp 30 วินาที รวมถึงขีดจำกัด 10 คำขอต่อวินาที สุดท้ายต้องดูแลคีย์ให้ปลอดภัย ใช้สิทธิ์ตามหลักสิทธิ์น้อยที่สุด ตั้งค่า IP whitelisting และระบบแจ้งเตือน หากต้องการเริ่มลงมือ ให้ส่งคำขอแรกไปยังจุดปลายทางข้อมูลตลาดสาธารณะในศูนย์นักพัฒนาของ WEEX ก่อน แล้วจึงเพิ่มการส่งคำสั่งซื้อผ่านจุดปลายทางส่วนตัว

คำถามที่พบบ่อย

1. WEEX รองรับการเทรดผ่าน API หรือไม่?

รองรับ WEEX มีอินเทอร์เฟซ REST และ WebSocket สำหรับข้อมูลตลาดอัตโนมัติ การส่งและยกเลิกคำสั่งซื้อ และการจัดการบัญชี ครอบคลุมทั้ง Spot และฟิวเจอร์สที่มี USDT เป็นมาร์จิน เหมาะสำหรับบอตควอนต์ บอตกริด และบอตทำตลาด

2. บัญชีหนึ่งสามารถสร้าง API Key ได้กี่รายการ?

สร้างได้สูงสุด 10 กลุ่ม แนะนำให้แยกตามกลยุทธ์และสภาพแวดล้อม เช่น คีย์สำหรับมอนิเตอร์แบบอ่านอย่างเดียว คีย์สำหรับเทรด Spot และคีย์สำหรับการพัฒนา/ทดสอบ เพื่อให้แต่ละคีย์ทำงานอย่างอิสระและเพิกถอนแยกกันได้

3. หากลืม Passphrase ต้องทำอย่างไร?

ไม่สามารถกู้คืนได้ Passphrase คือวลีที่คุณกำหนดตอนสร้าง และระบบจะไม่จัดเก็บไว้ในรูปแบบข้อความธรรมดา หากสูญหาย ให้ลบกลุ่ม API Key นั้นแล้วสร้างกลุ่มใหม่

4. เหตุใดคำขอส่วนตัวของฉันจึงถูกปฏิเสธอยู่เสมอ?

สาเหตุที่พบบ่อยที่สุดคือ timestamp หาก timestamp ของคำขอแตกต่างจากเวลาของเซิร์ฟเวอร์ WEEX เกิน 30 วินาที คำขอจะถูกปฏิเสธ ให้ซิงค์นาฬิกาเครื่องก่อน จากนั้นตรวจสอบลำดับของสตริงก่อนลงนาม ตรวจสอบว่าชื่อเมธอดเป็นตัวพิมพ์ใหญ่ และตรวจสอบว่ามีเฮดเดอร์ทั้ง 4 รายการ

5. หาก API Key ของฉันรั่วไหล ผู้โจมตีสามารถถอนเหรียญของฉันได้หรือไม่?

สำหรับ spot API ความเสี่ยงถูกจำกัดไว้ในระดับหนึ่ง — ณ เดือนกรกฎาคม 2026 สิทธิ์ที่ระบุไว้มีเพียง Read Only และ Spot trading โดยไม่มีสิทธิ์ถอนเงินแบบแยกต่างหาก อย่างไรก็ตาม ให้ลบคีย์ที่รั่วไหลในแพลตฟอร์มเว็บทันที และตรวจสอบว่ามีคำสั่งซื้อผิดปกติหรือไม่

6. การเรียกใช้ API มีขีดจำกัดอัตราหรือไม่?

มี ค่าเริ่มต้นคือ 10 คำขอ/วินาที หากเกินขีดจำกัด ระบบจะส่งข้อผิดพลาด 429 คำขอที่ยืนยันตัวตนจะนับตาม API Key ส่วนคำขอที่ไม่ยืนยันตัวตนจะนับตาม IP แบตช์คำสั่งซื้อ (เช่น 4 คู่เทรดที่มีคำสั่งซื้อคู่ละ 10 รายการ) จะนับเป็นคำขอเดียว ซึ่งกลยุทธ์ความถี่สูงสามารถใช้เพื่อประหยัดโควตาได้

คำเตือนด้านความเสี่ยง

สินทรัพย์ดิจิทัลมีความผันผวนสูง และการเทรดด้วยโปรแกรมผ่าน API อาจเพิ่มความเสี่ยงแทนที่จะลดความเสี่ยง ซึ่งอาจทำให้สูญเสียเงินต้นบางส่วนหรือทั้งหมด ความเสี่ยงเฉพาะของการเทรดผ่าน API ได้แก่ การโจรกรรมหรือการส่งคำสั่งซื้อโดยไม่ได้รับอนุญาตจากคีย์ที่รั่วไหล คำสั่งซื้อผิดพลาดต่อเนื่องจากข้อผิดพลาดด้านตรรกะของโค้ด คำสั่งซื้อไม่สำเร็จจากความหน่วงของเครือข่ายหรือ timestamp คลาดเคลื่อน การถูกจำกัดอัตราการเรียกใช้เนื่องจากเกินขีดจำกัดจนพลาดโอกาสในตลาด และความเสี่ยงถูกล้างพอร์ตจากเลเวอเรจของฟิวเจอร์ส ควรกำหนดสิทธิ์ของคีย์ให้เหลือน้อยที่สุด ผูก IP ปกป้อง SecretKey และ Passphrase และทดสอบอย่างละเอียดในสภาพแวดล้อมที่ใช้ขนาดการเทรดเล็กก่อนเปิดใช้งานจริง บทความนี้เป็นเพียงคู่มือด้านเทคนิคสำหรับการเชื่อมต่อ และไม่ใช่คำแนะนำด้านการลงทุน