Binance API リクエストでの認証エラーを修正するにはどうすればよいですか?

APIキー権限の設定

1. ブラウザのアドレス バーにwww.binance.comと入力して、Binance 公式 Web サイトに直接アクセスします。外部リンクは絶対にクリックしないでください。

2. ユーザー アバター ドロップダウン メニューからAPI Managementに移動し、オプションの存在を確認します。存在しない場合は、フィッシング サイトであることを示します。

3. 対象の API キーに対してスポット取引と先物取引の切り替えが有効になっていることを確認します。

4. IP ホワイトリストがアクティブであり、取引サーバーの正確な送信 IP アドレスが含まれていることを確認します。ローカルテストのみの場合は、慎重に「IP 制限なし」を選択してください。

5. コード内の資格情報をクロスチェックします。 print(exchange.requiredCredentials)を実行して、 apiKey 、 Secret 、およびオプションのuidの存在を検証します。

署名生成プロトコル

1. 署名付きリクエストを作成する前に、 https://api.binance.com/api/v3/time を使用してサーバー時間を取得します。

2. クエリ文字列をtimestamp=1718234567890のように正確に作成します。余分なスペースや、等号やアンパサンドの URL エンコードは使用しません。

3. UTF-8 でエンコードされた秘密キーと生のクエリ文字列を使用して HMAC-SHA256 署名を計算し、プレフィックスやサフィックスを含まない 16 進ダイジェストを出力します。

4. 結果の署名をヘッダーとしてではなく署名パラメータとして渡し、パラメータとクエリ文字列の両方にタイムスタンプを含めます。

5. X-MBX-APIKEYヘッダーを API キー値専用に使用します。 URL や本文に埋め込まないでください。

システム時刻の同期

1. Linux システムでtimedatectl statusを実行して、NTP サービスがアクティブで同期されていることを確認します。

2. Exchange.fetch_time()を介して Binance サーバー時間を取得し、ローカル エポック ミリ秒と比較します。

3. 偏差が 5000 ミリ秒を超える場合は、 sudo chronyc makestepを使用して即時修正を強制します。

4. 'options': {'adjustForTimeDifference': True}を使用して CCXT を初期化し、自動オフセット補正を有効にします。

5. ライブ取引セッション中は手動による時刻調整を避け、NTP 主導の同期のみに依存します。

レート制限動作

1. 交換インスタンス化時にenableRateLimit: Trueを設定して、組み込みのスロットリングロジックを有効にします。

2. 各呼び出し後にX-MBX-USED-WEIGHT-1M応答ヘッダーを監視して、1 分あたり 1200 の上限に対するリアルタイムの使用状況を追跡します。

3. 現在の分枠内で体重消費が 1100 を超えた場合、動的睡眠間隔を挿入します。

4. 連続シンボル要求をfetch_tickers([symbols])のようなバッチ エンドポイントに置き換えて、合計呼び出し数を減らします。

5. HTTP 429 エラーだけでなく、空の応答や遅延確認応答を潜在的なレート制限指標として扱います。

環境固有の資格情報の処理

1. 厳格なインデントとスペース規則に従って、API キーをソース管理外の外部creds.ymlファイルに保存します。

2. 偶発的なコミットを防ぐために、 creds.ymlを.gitignoreに永続的に追加します。

3. フィールドの存在と型の整合性を検証する専用のローダー関数を使用して、プログラムで資格情報をロードします。

4. デバッグの場合でも、Python スクリプトでキーをハードコードしたり、子プロセスがアクセスできる環境変数にキーを保存したりしないでください。

5. API 管理インターフェイスを通じて、侵害されたキーまたは期限切れのキーを直ちにローテーションします。古いキーは一度削除すると復元できません。

よくある質問

Q1: API キーとシークレットが正しいにもかかわらず、リクエストがコード -1022 を返すのはなぜですか?タイムスタンプの不一致、不正な形式のクエリ文字列、または不正な HMAC 入力順序により、署名の検証が失敗します。3 つのコンポーネントすべてを個別に検証してください。

Q2: 複数のサーバーで同じ API キーを再利用できますか?いいえ。各サーバーには独自の IP ホワイトリストに登録されたキーが必要です。キーを共有するとセキュリティ ポリシーに違反し、自動取り消しがトリガーされます。

Q3: 誤って「退会」許可を有効にするとどうなりますか? API キーは完全なアセット転送機能を獲得します。妥協は取り返しのつかない資金損失につながります。明示的に要求されない限り、出金許可は常に無効にしてください。

Q4: シェル スクリプトでハードコードされたシークレットを含むcurlを使用するのは安全ですか?いいえ。シェル履歴、プロセス リスト、ログ ファイルによって秘密が公開されます。代わりに、常に安全な資格情報挿入メカニズムを使用してください。