Comment sécuriser l’intégration API pour les robots de trading sur Bybit ?

Meilleures pratiques de gestion des clés API

1. N'exposez jamais les clés API dans le code côté client ou dans les référentiels publics. Stockez-les exclusivement dans des variables d'environnement à l'aide de fichiers .env avec des autorisations de fichiers strictes.

2. Attribuez les autorisations minimales requises lors de la génération des clés : désactivez les droits de retrait sauf si cela est absolument nécessaire au fonctionnement du bot.

3. Faites pivoter les clés API tous les 90 jours et révoquez immédiatement les clés compromises ou inutilisées via le tableau de bord de gestion des API de Bybit.

4. Utilisez la liste blanche IP pour restreindre l'accès aux API uniquement aux adresses de serveur connues, réduisant ainsi l'exposition aux sources réseau non autorisées.

5. Activez l'authentification à deux facteurs sur le compte Bybit associé à la clé API pour ajouter une couche de vérification supplémentaire lors de la création ou de la modification de la clé.

Implémentation des signatures HMAC

1. Générez des signatures à l'aide du hachage SHA-256 combiné à la clé secrète et à la chaîne de requête canonique, y compris l'horodatage, recv_window et les paramètres triés.

2. Incluez un horodatage valide dans les 30 secondes suivant l'heure du serveur pour empêcher les attaques par rejeu ; Bybit rejette les demandes en dehors de cette fenêtre.

3. Définissez recv_window sur 5 000 millisecondes, sauf si une latence plus élevée est inévitable : des fenêtres plus grandes augmentent la surface de vulnérabilité.

4. Triez toujours les paramètres de requête par ordre alphabétique avant de signer, car Bybit valide l'intégrité de la signature par rapport à l'ordre exact des paramètres.

5. Vérifiez les signatures de réponse sur les webhooks entrants en utilisant la même logique HMAC-SHA256 pour confirmer l'authenticité des mises à jour de position ou des exécutions de commandes.

Renforcement de la connexion WebSocket

1. Authentifiez les connexions WebSocket à l'aide de la même clé API et du même mécanisme de signature appliqués aux points de terminaison REST avant de vous abonner à des canaux privés.

2. Implémentez la surveillance du rythme cardiaque avec une logique de reconnexion automatique en cas d'expiration du délai de ping ou de déconnexion inattendue.

3. Limitez la portée de l'abonnement strictement aux sujets requis : évitez les abonnements génériques tels que « * » qui peuvent exposer des flux de données inutiles.

4. Analysez les messages WebSocket entrants uniquement après avoir validé la structure du message et l'intégrité de la charge utile par rapport aux définitions de schéma attendues.

5. Isolez les gestionnaires WebSocket dans des threads ou des processus dédiés pour éviter les pannes en cascade dues à des charges utiles mal formées ou malveillantes.

Stratégie de limitation de débit et de limitation

1. Respectez les limites documentées de Bybit : 600 requêtes toutes les 5 secondes par IP pour les points de terminaison publics et 500 toutes les 5 minutes pour les points de terminaison de postes de travail privés.

2. Implémentez une interruption exponentielle avec gigue lorsque vous appuyez sur 429 codes d'état au lieu d'intervalles de tentatives fixes pour éviter les rafales synchronisées.

3. Suivez localement la pondération des demandes à l'aide d'un compteur à fenêtre coulissante aligné sur le système basé sur la pondération de Bybit, et pas seulement le nombre brut de demandes.

4. Donnez la priorité aux opérations critiques telles que l'annulation de commandes et la liquidation de positions par rapport aux requêtes d'informations pendant les périodes de congestion.

5. Enregistrez toutes les violations des limites de débit avec le contexte complet (y compris l'horodatage, le point final et la consommation de poids) à des fins d'analyse et de réglage médico-légaux.

Foire aux questions

Q1 : Bybit prend-il en charge la rotation des clés API sans temps d'arrêt ? Oui. Créez une nouvelle clé avec des autorisations identiques, migrez tous les services pour l'utiliser, puis révoquez l'ancienne clé. Aucune session active n'est terminée pendant ce processus.

Q2 : Puis-je utiliser la même clé API sur plusieurs robots de trading ? Non. Chaque instance de bot doit utiliser une clé API unique pour permettre la révocation, la surveillance et la portée des autorisations granulaires.

Q3 : Que se passe-t-il si mon bot envoie une requête non signée à un point de terminaison privé ? Bybit renvoie HTTP 401 non autorisé avec le code d'erreur 10002 et aucun détail de charge utile : aucune exécution d'ordre n'a lieu et aucun journal n'est généré du côté de l'échange.

Q4 : Existe-t-il un moyen de tester la logique de signature sans risquer les commandes en direct ? Oui. Utilisez l'environnement testnet officiel de Bybit avec les points de terminaison de l'API V5 Unified Trading et la simulation de solde fictif avant le déploiement en production.