Puis-je utiliser un robot de trading personnalisé avec une clé API Bybit ?

Capacités d'intégration API

1. Bybit fournit des API REST et WebSocket qui prennent en charge le placement d'ordres, la gestion des positions, la récupération du solde du compte et la diffusion de données de marché.

2. Les développeurs peuvent enregistrer les clés API via l'interface utilisateur Bybit dans la section Gestion des API.

3. Chaque clé API doit se voir attribuer des autorisations spécifiques, telles que l'accès en lecture seule, au trading ou au retrait, en fonction des exigences opérationnelles.

4. La liste blanche IP est appliquée pour des raisons de sécurité ; seules les demandes provenant d'adresses IPv4 pré-approuvées sont acceptées.

5. L'authentification basée sur les signatures utilisant HMAC-SHA256 garantit l'intégrité de la demande et empêche toute falsification pendant la transmission.

Contraintes de développement de robots

1. Les robots personnalisés doivent respecter les limites de débit de Bybit : 120 requêtes par seconde pour les points de terminaison privés et 60 pour les points de terminaison publics.

2. La latence d'exécution des ordres dépend des conditions du réseau et de l'architecture du bot (et non directement de l'infrastructure de Bybit), mais des tentatives excessives peuvent déclencher une limitation temporaire.

3. Les robots de trading sur marge nécessitent une gestion explicite des ajustements de levier, du changement de mode de position (unidirectionnel ou couverture) et des niveaux de limite de risque.

4. Les contrats à terme et perpétuels exigent une synchronisation précise de l'horodatage pour éviter les erreurs d'expiration de signature, en particulier lorsque vous travaillez sur plusieurs fuseaux horaires.

5. Les intégrations Webhook ne sont pas prises en charge de manière native ; les développeurs doivent interroger l'état de la commande ou consommer des flux WebSocket pour des mises à jour en temps réel.

Protocoles de sécurité pour la gestion des clés

1. Les clés API ne doivent jamais être codées en dur dans les fichiers sources ni validées dans des systèmes de contrôle de version comme GitHub.

2. Des variables d'environnement ou des coffres-forts sécurisés tels que HashiCorp Vault ou AWS Secrets Manager sont recommandés pour le stockage des informations d'identification.

3. Les clés privées utilisées pour la génération de signatures doivent rester inaccessibles au code frontal ou aux scripts côté client.

4. La révocation des clés compromises est immédiate et irréversible via le tableau de bord Bybit ou l'appel API à /user/post-api-key-revoke .

5. L'authentification à deux facteurs reste obligatoire pour les actions au niveau du compte, même si la clé API elle-même ne dispose pas de privilèges de retrait.

Considérations réglementaires et de conformité

1. Les robots exécutant des stratégies à haute fréquence peuvent relever des définitions juridictionnelles du trading algorithmique, nécessitant un enregistrement dans certaines régions.

2. Bybit interdit l'utilisation de l'API à des fins de front-running, d'usurpation d'identité, de wash trading ou toute activité violant leurs conditions d'utilisation.

3. Les utilisateurs doivent conserver l'entière responsabilité des pertes subies en raison de défauts logiques, de paramètres mal configurés ou de cas extrêmes non gérés dans le code personnalisé.

4. Les positions de marge croisée gérées par des robots externes doivent s'aligner sur les seuils d'appel de marge et les règles de désendettement automatique de Bybit.

5. Des politiques de résidence des données s'appliquent : l'API ne garantit pas l'emplacement de stockage des journaux ou des métadonnées générées lors des interactions du robot.

Foire aux questions

T1. Puis-je utiliser la même clé API pour le trading au comptant et sur produits dérivés ? Oui, à condition que la clé ait reçu des autorisations pour les deux catégories lors de la création. Les autorisations sont définies au moment de la génération de la clé et ne peuvent pas être modifiées par la suite.

Q2. Bybit restreint-il l'accès à l'API en fonction du niveau de vérification du compte ? Non, le statut KYC ne déclenche pas la fonctionnalité de l'API. Cependant, les comptes non vérifiés sont confrontés à des limites de retrait inférieures et ne peuvent pas accéder à certains types de contrats.

Q3. Que se passe-t-il si mon bot envoie une signature invalide ? L'API renvoie HTTP 401 avec le code d'erreur 10004 , indiquant un échec de vérification de signature. Un décalage d'horodatage au-delà de 30 secondes déclenche également cette réponse.

Q4. Les clés API testnet sont-elles compatibles avec les points de terminaison du réseau principal ? Non. Les clés Testnet ne fonctionnent que sur https://api-testnet.bybit.com . Tenter de les utiliser sur les points de terminaison de production entraîne HTTP 403.