Bybit プラットフォームで API トークンのライフサイクルを管理するにはどうすればよいですか?

トークンの生成と権限の割り当て

1. Bybit では、公式ダッシュボードの「API 管理」セクションで API キーを作成する必要があり、ユーザーはキーごとに特定の権限を明示的に有効にする必要があります。

2. 最小特権アクセスを強制するには、各トークンに詳細なスコープ ( account.read 、 asset.transfer 、またはorder.writeなど) を割り当てる必要があります。

3. IP ホワイトリストなしで生成されたトークンは、作成時に明示的に有効にしない限り、自動的に読み取り専用操作に制限されます。

4. プラットフォームは、引き出しまたは資金移動の許可を持つ API キーに対して必須の 2 要素認証 (2FA) を強制します。

5. Bybit の V5 API エンドポイント経由で作成されたキーには、トークンがスポット、デリバティブ、または統合取引口座用であるかどうかを指定するタイプパラメーターが含まれている必要があります。

安全なストレージと環境の分離

1. Bybit では、環境変数または Vault を使用したシークレット挿入メカニズムを使用して、API キーをアプリケーションのソース コードの外に保存することを推奨しています。

2. Bybit の Python SDK を統合する開発者は、 pybit.unified_trading.HTTP初期化ブロックで認証情報をハードコーディングしないようにする必要があります。

3. 運用環境では、個人の API キーではなく、分離されたネットワーク ポリシーを持つ専用のサービス アカウントを使用する必要があります。

4. Docker 化されたアプリケーションは、ビルド引数として渡すのではなく、ボリューム マウントまたは Kubernetes シークレットを介してシークレットをマウントする必要があります。

5. ローカル開発環境では、BYBIT_API_KEY および BYBIT_API_SECRET を含む.envファイルの誤ったコミットを防ぐために、厳格な .gitignore ルールが必要です。

使用状況の監視と異常検出

1. Bybit は、タイムスタンプ、エンドポイント、ステータス コード、リクエスト サイズを示す、認証されたダッシュボード セッション経由でのみアクセスできるリアルタイムの API 呼び出しログを提供します。

2. レート制限はユーザーごとではなく API キーごとに適用され、違反が発生した場合は猶予期間なしで即座に 429 レスポンスがトリガーされます。

3. 高リスクの ASN 範囲からの突然のリクエストなど、地理的な発信元が異常に急増すると、90 秒以内に自動キー一時停止がトリガーされます。

4. プラットフォームは、署名検証の試行が繰り返されて失敗すると、潜在的な資格情報漏洩イベントとしてフラグを立てます。

5. API キーが 1 日のクォータしきい値の 75% を超えると、ユーザーは電子メール アラートを受け取り、スロットルが発生する前に手動で確認するよう求められます。

鍵のローテーションと廃止手順

1. Bybit は API キーを自動期限切れにしないため、スケジュールされたローテーションは開発者の責任で CI/CD パイプラインを介して強制されます。

2. すべてのローテーション サイクルには、新しいキー ペアの生成、すべての依存サービスの更新、および古いキーを削除する前の機能の検証が含まれる必要があります。

3. DELETE /api/auth/tokenエンドポイントには、キー文字列そのものではなく、最初の作成時に返された正確なキー ID が必要です。

4. 取り消されたキーは監査ログに 90 日間表示されますが、いかなる状況でも再アクティブ化または再利用することはできません。

5. キーローテーションを実行する自動スクリプトは、削除に進む前に Bybit の/api/auth/tokensエンドポイントからの応答コードを検証する必要があります。

よくある質問

Q: 削除した API キーを再利用できますか?いいえ。 DELETE /api/auth/tokenによって削除されると、キーは永久に無効になり、復元したり、同じパラメータで再生成したりすることはできません。

Q: Bybit はサードパーティ統合用の OAuth 2.0 をサポートしていますか?いいえ。Bybit は、API キーとシークレットのペアを使用した HMAC-SHA256 署名付きリクエストを排他的に使用します。 OAuth 2.0 は、パブリック API サーフェス全体には実装されていません。

Q: API キーが複数のエンドポイントで同時にレート制限を超えた場合はどうなりますか?各エンドポイントは独立したレート制限の下で動作します。注文の制限を超えても資産残高のクエリには影響しませんが、グローバルな不正行為の検出によりキー全体が一時停止される可能性があります。

Q: テストネット API キーには、メインネット キーと同じセキュリティ ポリシーが適用されますか?はい。テストネット キーには、同一の権限スコープ、IP ホワイトリスト、および 2FA 強制が必要です。これらは、プロダクション キーと同じ監査ログ インターフェイスにも表示されます。