Bybit で取引ボットの API 統合を保護するにはどうすればよいですか?

API キー管理のベスト プラクティス

1. クライアント側のコードまたはパブリック リポジトリで API キーを決して公開しないでください。厳密なファイル権限を持つ .env ファイルを使用して、それらを環境変数に排他的に保存します。

2. キーを生成するときに必要な最小限の権限を割り当てます。ボットの機能に絶対に必要な場合を除き、取り消し権を無効にします。

3. API キーを 90 日ごとにローテーションし、侵害されたキーまたは未使用のキーを Bybit の API 管理ダッシュボードから直ちに取り消します。

4. IP ホワイトリストを使用して API アクセスを既知のサーバー アドレスのみに制限し、未承認のネットワーク ソースへの露出を減らします。

5. API キーに関連付けられた Bybit アカウントで 2 要素認証を有効にして、キーの作成または変更中に追加の検証レイヤーを追加します。

HMAC 署名の実装

1. 秘密キーと正規化されたリクエスト文字列 (タイムスタンプ、recv_window、ソートされたパラメーターなど) を組み合わせた SHA-256 ハッシュを使用して署名を生成します。

2. リプレイ攻撃を防ぐために、サーバー時間の 30 秒以内の有効なタイムスタンプを含めます。 Bybit はこの期間外のリクエストを拒否します。

3. 待ち時間の増加が避けられない限り、recv_window を 5000 ミリ秒に設定します。ウィンドウが大きいと、脆弱性の表面が増加します。

4. Bybit は正確なパラメーターの順序に対して署名の整合性を検証するため、署名する前に必ずクエリ パラメーターをアルファベット順に並べ替えます。

5. 同じ HMAC-SHA256 ロジックを使用して受信 Webhook の応答署名を検証し、ポジションの更新または注文約定の信頼性を確認します。

WebSocket接続の強化

1. プライベート チャネルにサブスクライブする前に、REST エンドポイントに適用されるのと同じ API キーと署名メカニズムを使用して WebSocket 接続を認証します。

2. ping タイムアウトまたは予期しない切断時の自動再接続ロジックを使用してハートビート監視を実装します。

3. サブスクリプションの範囲を必要なトピックに厳密に制限します。不要なデータ ストリームが公開される可能性がある「*」などのワイルドカード サブスクリプションは避けてください。

4. 受信 WebSocket メッセージは、メッセージ構造とペイロードの整合性を予期されるスキーマ定義に対して検証した後にのみ解析します。

5. 不正な形式または悪意のあるペイロードによる連鎖的な障害を防ぐために、WebSocket ハンドラーを専用のスレッドまたはプロセスに分離します。

レート制限とスロットル戦略

1. Bybit の文書化された制限を尊重します。パブリック エンドポイントの場合は IP ごとに 5 秒あたり 600 リクエスト、プライベート ワークステーション エンドポイントの場合は 5 分あたり 500 リクエストです。

2. 同期バーストを回避するために、固定の再試行間隔ではなく、429 ステータス コードに達したときにジッターのある指数バックオフを実装します。

3. Bybit の重みベースのシステムに合わせたスライディング ウィンドウ カウンターを使用して、生のリクエスト数だけでなく、ローカルでリクエストの重みを追跡します。

4. 混雑時には、情報クエリよりも注文キャンセルやポジション清算などの重要な操作を優先します。

5. フォレンジック分析とチューニングのために、タイムスタンプ、エンドポイント、重量消費を含む完全なコンテキストを含むすべてのレート制限違反をログに記録します。

よくある質問

Q1: Bybit はダウンタイムなしの API キーのローテーションをサポートしていますか?はい。同一のアクセス許可を持つ新しいキーを作成し、それを使用するようにすべてのサービスを移行してから、古いキーを取り消します。このプロセス中にアクティブなセッションが終了することはありません。

Q2: 複数の取引ボットで同じ API キーを使用できますか?いいえ。各ボット インスタンスは、一意の API キーを使用して、詳細な取り消し、監視、権限のスコープ設定を有効にする必要があります。

Q3: ボットが未署名のリクエストをプライベート エンドポイントに送信するとどうなりますか? Bybit はエラー コード 10002 で HTTP 401 Unauthorized を返し、ペイロードの詳細はありません。注文の実行は行われず、取引所側でログは生成されません。

Q4: ライブ注文の危険を冒さずに署名ロジックをテストする方法はありますか?はい。実稼働環境にデプロイする前に、V5 Unified Trading API エンドポイントと模擬残高シミュレーションを備えた Bybit の公式テストネット環境を使用します。