Comment utiliser le trading API sur Bybit ? Guide du développeur pour débutants

Accès API et gestion des clés

1. Connectez-vous à votre compte Bybit via le site officiel ou l'application de bureau.

2. Accédez à Paramètres du compte → Gestion des API → Créer une clé API.

3. Attribuez un nom descriptif, sélectionnez les restrictions de la liste blanche IP et activez uniquement les autorisations nécessaires telles que « Lecture seule », « Échange » ou « Retrait ».

4. Confirmez la création à l'aide de 2FA ; stockez la clé API et le secret API hors ligne dans un coffre-fort chiffré.

5. N'exposez jamais le secret API dans le code frontal, la console du navigateur ou les référentiels publics.

Versions d'API et points de terminaison pris en charge

1. L'API REST Bybit V5 sert les points de terminaison spot, dérivés et actifs avec une structure unifiée et un schéma de réponse cohérent.

2. Les canaux publics WebSocket fournissent des données de marché en temps réel, notamment la profondeur du carnet d'ordres (orderbook.50), les tickers (tickers) et l'exécution des transactions (publicTrade).

3. Les canaux privés WebSocket prennent en charge les mises à jour de position, les changements de statut des commandes, les notifications de solde de portefeuille et les rapports d'exécution.

4. Les points de terminaison du compte de trading unifié permettent les opérations sur marges croisées sur les produits au comptant et dérivés sans transferts de fonds manuels.

5. Tous les points de terminaison nécessitent une synchronisation stricte de l'horodatage : un décalage d'horloge au-delà de 30 secondes déclenche le rejet.

Flux de travail d'authentification

1. Chaque demande doit inclure l'en-tête X-BAPI-API-KEY contenant votre clé API active.

2. L'en-tête X-BAPI-SIGN contient le hachage HMAC SHA256 de la chaîne concaténée : timestamp + api_key + recv_window + payload .

3. L'en-tête X-BAPI-TIMESTAMP contient l'horodatage Unix actuel en millisecondes.

4. X-BAPI-RECV-WINDOW définit une fenêtre de temps acceptable pour la validation de la signature, par défaut à 5 000 ms.

5. La charge utile doit être sérialisée en JSON sans espace et les clés triées lexicographiquement avant la signature.

Limitation du débit et gestion des erreurs

1. L'API REST applique 120 requêtes par minute par clé API pour les points de terminaison publics et 60 par minute pour les points de terminaison privés.

2. Les connexions WebSocket sont limitées à 100 abonnements par connexion ; le dépassement déclenche une déconnexion automatique.

3. Les réponses HTTP 429 indiquent un épuisement de la limite de débit ; les clients doivent mettre en œuvre un recul et une gigue exponentiels.

4. Les codes d'erreur courants incluent 10001 (signature invalide), 10002 (horodatage expiré) et 30087 (marge insuffisante).

5. Tous les corps d'erreur contiennent retCode, retMsg et des champs contextuels supplémentaires comme orderId ou un symbole pour le débogage.

Foire aux questions

Q : Puis-je utiliser la même clé API pour le testnet et le réseau principal ? Non. Testnet et mainnet nécessitent des clés API distinctes générées à partir de leurs domaines respectifs. Les clés émises sur https://api-testnet.bybit.com ne sont pas valides en production.

Q : Bybit prend-il en charge les intégrations Webhook pour l'exécution des commandes ? Non. Bybit ne fournit pas de livraison de webhooks. Les clients doivent maintenir des connexions WebSocket persistantes ou interroger les points de terminaison REST pour obtenir des confirmations de remplissage.

Q : Est-il possible de révoquer une clé API par programmation ? Oui. Utilisez le point de terminaison DELETE /v5/user/api-key avec une authentification valide. L'opération nécessite l'ID de la clé cible et ne peut pas être annulée.

Q : Existe-t-il des SDK officiellement gérés par Bybit pour Python ou JavaScript ? Bybit fournit des SDK pris en charge par la communauté sur GitHub, mais ne publie ni n'approuve aucune bibliothèque spécifique à une langue officiellement maintenue. Les développeurs s'appuient sur des packages pybit et bybit-api gérés par des tiers.