取引用の API キーを設定するにはどうすればよいですか? (サードパーティ製アプリ)

API キーのセキュリティ プロトコルについて

1. API キーは、サードパーティのアプリケーションに暗号通貨取引所のバックエンド システムと対話する許可を与えるデジタル認証情報として機能します。

2. 取引所では、厳格な範囲制限が適用されます。取引、出金、および読み取り専用のアクセス許可は、キーの生成中に個別に選択する必要があります。

3. キーは IP ホワイトリストに関連付けられます。未登録のアドレスからの不正アクセスが試行されると、即時取り消しが行われます。

4. 秘密キーは作成時に 1 回だけ表示されます。紛失または漏洩した場合、回復メカニズムは存在しません。

5. ハードウェア セキュリティ モジュール (HSM) は、保存時および転送中のキー素材を暗号化するために主要なプラットフォームで使用されます。

Exchange 固有のキー生成ワークフローの操作

1. Binance では、ユーザーがアカウント設定の「API 管理」で API 管理ダッシュボードにアクセスする前に、2 要素認証を有効にする必要があります。

2. Bybit は、キー発行前の電子メール確認と SMS 検証を義務付けており、監査証跡コンプライアンスのために各キーのラベル付けを義務付けています。

3. OKX は、出金許可を有効にした後 72 時間のクールダウン期間を適用し、フルアクセス キーがあっても即座に資金を移動できなくなります。

4. KuCoin は、手動で更新しない限り 90 日後に自動キー有効期限切れを実装し、長期暴露のリスクを軽減します。

5. Gate.io ではエンドポイントを詳細に制限でき、/api/v4/spot/orders などの特定の REST パスへのアクセスのみを許可しますが、/api/v4/wallet/withdrawals はブロックします。

取引ボットおよびダッシュボードへのキーの統合

1. CCXT ライブラリを使用する Python ベースのボットでは、Coinbase Pro などの交換用に、api_key、api_secret、およびオプションでパスフレーズを使用してインスタンス化する必要があります。

2. Node.js アプリケーションは多くの場合、キーを環境変数 (.env ファイル) に保存し、キーをソース ファイルや GitHub リポジトリにハードコーディングすることはありません。

3. TradingView Pine スクリプトは API キーをネイティブに使用できません。外部 Webhook リレーは、安全なトンネリングを介して信号をブリッジして、実行された注文を交換する必要があります。

4. Cryptohopper などのデスクトップ ツールでは、取引所固有の API URL および署名アルゴリズム (HMAC-SHA256 対 EdDSA) とともにキーを手動で入力する必要があります。

5. モバイル取引アプリは、プラットフォームのサンドボックス化のため、直接 API 統合をサポートすることはほとんどありません。ほとんどは、生のキーの使用ではなく OAuth2 委任に依存しています。

アクティブキー導入時のリスク軽減

1. 取引執行権限と出金権限の両方を同じキーに決して割り当てないでください。内部ボットの障害が連鎖して、取り返しのつかない資産損失につながる可能性があります。

2. Exchange API を呼び出して古いキーを削除し、代替キーを生成する自動スクリプトを使用して、キーを 30 日ごとにローテーションします。

3. API 呼び出しログを毎日監視して、予期しない注文のキャンセル、急速な見積もりリクエスト、時間外のアクティビティの急増などの異常がないか確認します。

4. マーケットメイク戦略に使用されるキーを、裁定取引ロジックを処理するキーから分離して、侵害の影響面を封じ込めます。

5. すべての送信接続にわたって TLS 1.3 暗号化を強制します。 TLS 1.0 または 1.1 へのダウングレード試行では、通信を直ちに停止する必要があります。

よくある質問

Q: 複数の取引ボットで同じ API キーを使用できますか?複数のボットで 1 つのキーを使用すると、攻撃対象領域が増大し、最小特権の原則に違反します。各ボットには独自のスコープ付きキーが必要です。

Q: タイムスタンプとノンスが正しいにもかかわらず、私の交換局が私の署名付きリクエストを拒否するのはなぜですか?一般に、許可されたウィンドウ (通常は±30 秒) を超えたタイムスタンプのスキュー、ペイロード本体の不正なハッシュ、または API バージョン ヘッダーの不一致により、署名検証の失敗が発生します。

Q: スポット API と先物 API は同じ主要なインフラストラクチャを共有しますか?いいえ、ほとんどの取引所は取引商品ラインごとに個別のキーを発行します。先物キーには個別の権限が必要であり、多くの場合、fapi.binance.com などの分離された API ドメインに存在します。

Q: 私の API キーが公開 GitHub コミットに含まれている場合はどうなりますか?即時取り消しは必須です。取引所は公開コード リポジトリでキーの漏洩を監視しており、検出すると事前に関連アカウントを停止する場合があります。