Binance取引所で先物取引APIを保護するにはどうすればよいですか?

APIキー生成プロトコル

1. URL を手動で入力して、Binance の公式ドメイン binance.com に直接アクセスします。外部リンクは絶対にクリックしないでください。

2. SSL 証明書の所有権が Binance Ltd であること、およびブラウザのアドレス バーに鍵のアイコンが表示されていることを確認します。

3. ユーザー プロファイルのドロップダウンに移動し、【API Management】を見つけて選択します。存在しない場合はフィッシング サイトを示します。

4. 黄色の【API の作成】ボタンを使用して API の作成を開始し、「UM-Futures-Grid-BTCUSDT」などの説明的なラベルを割り当てます。

5. 【取引】【読み取り】【先物有効化】の必要な権限のみを有効にし、【出金】や【信用取引】は絶対に行わないでください。

IP ホワイトリストの適用

1. API管理インターフェース内で、新しく作成したキーの横にある【編集】をクリックして詳細設定を開きます。

2. 先物取引ボットをホストするサーバーの正確な IPv4 アドレスを入力します。203.0.113.42/32 などの CIDR 表記が受け入れられます。

3. 設定を保存します。ホワイトリストに登録された IP 以外から発信されたリクエストは、HTTP 401 Unauthorized を返します。

4. 0.0.0.0/0 のようなワイルドカード エントリは避けてください。これは保護を無効にし、Binance セキュリティ ポリシーに違反します。

5. インフラストラクチャの変更後に IP を再検証します。クラウド プロバイダーの再割り当てにより、送信パブリック IP が変更される可能性があります。

2 要素認証の強化

1. 初期作成時に Google Authenticator を API キーにバインドします。Binance は、先物対応キーに対して TOTP を義務付けています。

2. リカバリ コードをクラウド ストレージや電子メールではなく、暗号化された USB ドライブにオフラインで保存します。

3. SMS ベースの 2FA を無効にする - SIM スワップの脆弱性のため、Binance は API アクセスに関してこれを明示的に非推奨にしています。

4. デバイス バインドを強制します。各キーは、作成が行われたブラウザ セッションでのみ動作します。

5. 不正使用の試みを示すデバイス不一致エラーが表示された場合は、即時取り消しをトリガーします。

秘密鍵の取り扱いに関する規律

1. Secret_key を生成したらすぐにコピーします。Binance はそれを一度だけ表示し、二度と表示しません。

2. インライン コメントや余分な空白を含めずに、分離された認証情報ファイル (creds.yml など) に貼り付けます。

3. creds.yml を .gitignore に追加します。リポジトリの誤ったアップロードにより、複数の大きな資金損失が発生しました。

4. ソース ファイル内のハードコードされた文字列ではなく、環境変数またはセキュア ボールトを介して実行時に資格情報を読み込みます。

5. 予期しない署名の失敗について毎週ログを監査します。資格情報の漏洩やブルート フォースの試みを示す可能性があります。

WebSocket ストリームのセキュリティ

1. 必要なストリームのみをサブスクライブします: !userData 、 !balance 、および!position — !ticker などの広範なトピックは避けます。

2. ストリームのハートビート応答を 30 秒ごとに検証して、中間者による改ざんを検出します。

3. WSS (WebSocket Secure) のみを使用します。プレーンな WS 接続は、Binance 運用エンドポイントによって拒否されます。

4. POST /fapi/v1/listenKey を介して listenKey を 60 分ごとにローテーションし、長時間にわたるセッションのハイジャックを防ぎます。

5. {'e':'error','m':'Invalid listenKey'} を受信したらすぐに接続を終了します。これはキーの侵害を示します。

よくある質問

Q1: 現物取引と先物取引の両方で同じ API キーを再利用できますか?いいえ、Binance は厳密な分離を強制します。先物操作にはキー作成時に明示的な【Enable Futures】フラグが必要です。スコープを混合すると、アクセス許可の拒否がトリガーされます。

Q2: ホワイトリストを更新せずにサーバーの IP が変更された場合はどうなりますか?すべての API リクエストは HTTP 401 を返します。フォールバック メカニズムは存在しません。Binance は手動で更新するまでリストにない IP を永久にブロックします。

Q3: Ed25519 署名は先物 API には必須ですか?いいえ、ただし HMAC-SHA256 はデフォルトのままです。 Ed25519 は優れたキー ローテーション制御を提供し、1 日あたり 1000 件を超える注文を処理する機関での導入に推奨されます。

Q4: Binance は私のキーで行われたすべての API 呼び出しを記録しますか?はい。タイムスタンプ、エンドポイント、ペイロード サイズ、応答コードを含む完全な監査証跡は 90 日間保持され、API 管理ダッシュボードからアクセスできます。