Coinbase API セキュリティ: キーを保護するための開発者ガイド。

Coinbase API セキュリティ: キー管理のベスト プラクティス

1. API キーは常に公式 Coinbase ポータル経由で生成し、サードパーティのツールや未検証のスクリプト経由では決して生成しないでください。これにより、Coinbase によって直接制御される安全な監査環境内で認証情報が作成されることが保証されます。

2. 各 API キーに割り当てられる権限を制限します。たとえば、アプリケーションが口座残高を取得することだけが必要な場合は、取引または引き出しの権限を付与しないでください。最小特権の原則により、侵害が発生した場合の潜在的な損害が軽減されます。

3. API キーを環境変数、または Hashicorp Vault や AWS Secrets Manager などの安全なシークレット管理サービスに保存します。ソース ファイル、特にパブリック リポジトリに保存されているキーをハードコーディングしないでください。

4. API キーを定期的に (理想的には 90 日ごとに) ローテーションし、漏洩の疑いのあるキーをすぐに取り消します。自動ローテーション ワークフローは、暗号化されたシークレット インジェクションを備えた CI/CD パイプラインを使用して実装できます。

5. 開発環境、ステージング環境、実稼働環境に個別の API キーを使用します。この隔離により、偶発的な誤使用が防止され、1 つの環境が侵害された場合の横方向の移動が制限されます。

アプリと Coinbase API の間の通信を保護する

1. Coinbase API へのすべてのリクエストが HTTPS のみを使用するようにします。中間者攻撃を防ぐために、HTTP 経由で通信しようとする試みはアプリケーション レベルでブロックする必要があります。

2. 証明書の固定または信頼できる CA 検証を使用して、アウトバウンド接続で SSL 証明書を検証します。 Python のcertifiのようなライブラリは、最新のルート証明書ストアを維持するのに役立ちます。

3. Coinbase の HMAC-SHA256 認証スキームに従って、API 秘密キーを使用してリクエスト署名を実装します。各リクエストには、正確なヘッダー (CB-ACCESS-KEY、CB-ACCESS-SIGN、CB-ACCESS-TIMESTAMP、および CB-VERSION) が含まれている必要があります。

4. NTP (ネットワーク タイム プロトコル) を使用して、サーバー間でシステム クロックを同期します。タイムスタンプの不一致が数秒を超えるとリクエストが拒否され、クロック ドリフトの脆弱性が示される可能性があります。

5. API 呼び出しのタイムアウトを短く設定し、指数バックオフを使用した再試行ロジックを実装します。これにより、サービス妨害状態から保護され、リプレイ攻撃の余地が減少します。

不審なアクティビティの監視と検出

1. すべての API インタラクションのログを有効にし、タイムスタンプ、アクセスされたエンドポイント、IP アドレス、および応答コードをキャプチャします。これらのログは、改ざんを防ぐために不変のストレージに保存する必要があります。

2. リクエスト量の急増、不慣れな地理位置情報からのアクセス、引き出しなどの機密性の高いエンドポイントへのアクセスの試みなど、異常な動作に基づいたリアルタイムのアラートを統合します。

3. Coinbase の組み込みアクティビティ ダッシュボードを使用して、内部ログを相互参照します。予想されるアクションと記録されたアクションの間に矛盾がある場合は、不正使用の兆候となる可能性があります。

4. インフラストラクチャからの送信トラフィック パターンを分析する侵入検知システム (IDS) を導入します。予期しないデータの流出や既知の悪意のある IP への接続が発生した場合は、直ちに調査する必要があります。

5. アクティブな API キーとそれに関連する使用状況メトリックの定期的な監査を実施します。最近のアクティビティが示されていないキー、または廃止されたサービスに関連付けられているキーをすべて非アクティブ化します。

Coinbase API セキュリティに関するよくある質問

API キーが漏洩した場合はどうなりますか?すぐに Coinbase アカウントにログインし、公開されたキーを取り消します。不正な取引がないかアクティビティ履歴を確認してください。必要最小限の権限を持つ新しいキーを生成し、アプリケーション構成を安全に更新します。

APIアクセスをIPアドレスで制限できますか?はい、Coinbase では、作成時に API キーを特定の IPv4 アドレスにバインドできます。これらのホワイトリストに登録された IP から発信されたリクエストのみが受け入れられ、ネットワーク レベルの制御の強力な層が追加されます。

複数のマイクロサービス間で同じ API キーを使用しても安全ですか?いいえ。複数のサービス間で 1 つの API キーを共有すると、リスクが増大し、監査が複雑になります。侵害を分離して正確に追跡できるように、各サービスには独自のキーが必要です。

Coinbase はレート制限と不正行為防止をどのように処理しますか? Coinbase は、ユーザー層とエンドポイントの感度に基づいてレート制限を適用します。しきい値を超えると、一時的なスロットルが発生します。継続的な悪用は、プラットフォームの完全性を保護するためにアカウントの審査または停止を引き起こす可能性があります。