바이낸스 거래소에서 선물 거래 API를 보호하는 방법은 무엇입니까?

API 키 생성 프로토콜

1. 수동 URL 입력을 통해 공식 바이낸스 도메인 binance.com에 직접 접속하세요. 절대 외부 링크를 클릭하지 마세요.

2. Binance Ltd의 SSL 인증서 소유권과 브라우저 주소 표시줄에 자물쇠 아이콘이 있는지 확인하세요.

3. 사용자 프로필 드롭다운으로 이동하여 【API 관리】를 찾아 선택합니다. 부재는 피싱 사이트를 나타냅니다.

4. 노란색 【API 생성】 버튼을 사용하여 API 생성을 시작하고 'UM-Futures-Grid-BTCUSDT'와 같은 설명 라벨을 할당합니다.

5. 【거래】, 【읽기】, 【선물 활성화】 등 필요한 권한만 활성화합니다. 절대로 【출금】 또는 【마진거래】를 활성화하지 마세요.

IP 화이트리스트 시행

1. API 관리 인터페이스 내에서 새로 생성된 키 옆에 있는 【편집】을 클릭하여 고급 설정을 엽니다.

2. 선물 거래 봇을 호스팅하는 서버의 정확한 IPv4 주소를 입력하세요. 203.0.113.42/32와 같은 CIDR 표기법이 허용됩니다.

3. 구성을 저장합니다. 화이트리스트 IP 외부에서 발생하는 모든 요청은 HTTP 401 Unauthorized를 반환합니다.

4. 0.0.0.0/0과 같은 와일드카드 항목을 피하십시오. 이는 보호를 무효화하고 바이낸스 보안 정책을 위반합니다.

5. 인프라 변경 후 IP 재검증 - 클라우드 공급자 재할당으로 인해 아웃바운드 공용 IP가 변경될 수 있습니다.

2단계 인증 강화

1. 초기 생성 시 Google OTP를 API 키에 바인딩합니다. Binance는 선물 가능 키에 대해 TOTP를 요구합니다.

2. 클라우드 저장소나 이메일이 아닌 암호화된 USB 드라이브에 복구 코드를 오프라인으로 저장하세요.

3. SMS 기반 2FA 비활성화 - Binance는 SIM 스왑 취약점으로 인해 API 액세스에 대해 이를 명시적으로 사용하지 않습니다.

4. 장치 바인딩 시행: 각 키는 생성이 발생한 브라우저 세션에서만 작동합니다.

5. 장치 불일치 오류가 나타나면 즉시 취소를 트리거합니다(무단 사용 시도를 나타냄).

비밀 키 처리 규율

1. 생성 즉시 secret_key를 복사합니다. Binance는 이를 한 번만 표시하고 다시는 표시하지 않습니다.

2. 인라인 주석이나 추가 공백 없이 격리된 자격 증명 파일(예: creds.yml)에 붙여넣습니다.

3. .gitignore에 creds.yml을 추가합니다. 실수로 저장소를 업로드하면 여러 차례 큰 자금 손실이 발생했습니다.

4. 소스 파일에 하드코딩된 문자열이 아닌 환경 변수 또는 보안 저장소를 통해 런타임에 자격 증명을 로드합니다.

5. 예상치 못한 서명 실패에 대한 감사 로그가 매주 기록됩니다. 자격 증명 유출이나 무차별 공격 시도를 나타낼 수 있습니다.

WebSocket 스트림 보안

1. 필수 스트림인 !userData , !balance 및 !position 만 구독하세요. !ticker와 같은 광범위한 주제는 피하세요.

2. 30초마다 스트림 하트비트 응답을 검증하여 중간자 변조를 감지합니다.

3. WSS(WebSocket Secure)를 독점적으로 사용하십시오. 일반 WS 연결은 바이낸스 프로덕션 엔드포인트에 의해 거부됩니다.

4. POST /fapi/v1/listenKey를 통해 60분마다 ListenKey를 순환하여 장기간 세션 하이재킹을 방지합니다.

5. {'e':'error','m':'Invalid listeningKey'}를 수신하면 즉시 연결을 종료합니다. 이는 키 손상을 나타냅니다.

자주 묻는 질문

Q1: 현물 거래와 선물 거래 모두에 동일한 API 키를 재사용할 수 있나요? 아니요. 바이낸스는 엄격한 분리를 시행합니다. 선물 거래에는 키 생성 중에 명시적인 【선물 활성화】 플래그가 필요합니다. 범위를 혼합하면 권한 거부가 트리거됩니다.

Q2: 화이트리스트를 업데이트하지 않고 서버의 IP가 변경되면 어떻게 되나요? 모든 API 요청은 HTTP 401을 반환합니다. 대체 메커니즘이 존재하지 않습니다. Binance는 수동 업데이트가 될 때까지 목록에 없는 IP를 영구적으로 차단합니다.

Q3: 선물 API에 Ed25519 서명이 필수인가요? 아니요. 하지만 HMAC-SHA256은 기본값으로 유지됩니다. Ed25519는 뛰어난 키 순환 제어 기능을 제공하며 하루에 1000건이 넘는 주문을 처리하는 기관 배포에 권장됩니다.

Q4: 바이낸스는 내 키로 이루어진 모든 API 호출을 기록합니까? 예. 타임스탬프, 엔드포인트, 페이로드 크기 및 응답 코드를 포함한 전체 감사 추적은 90일 동안 유지되며 API 관리 대시보드를 통해 액세스할 수 있습니다.