Dokumentacja API

Najlepsze praktyki i wzmacnianie bezpieczeństwa API

Wdrożenie kompleksowych praktyk bezpieczeństwa dla integracji Smart Money API. Opanuj zarządzanie sekretami, bezpieczeństwo sieciowe, ograniczanie liczby żądań i zgodność.

Opublikowano 21 marca 2026 • 19 minut czytania • Krytyczne

Przegląd bezpieczeństwa

Smart Money API stosuje najlepsze praktyki branżowe w zakresie bezpieczeństwa. Ten przewodnik obejmuje Twoje obowiązki w zakresie ochrony integracji i danych użytkowników.

Warstwy bezpieczeństwa:

  • Warstwa transportowa — Szyfrowanie TLS 1.3 dla całego ruchu
  • Warstwa uwierzytelniania — Klucze API, OAuth 2.0, MFA
  • Warstwa autoryzacji — Kontrola dostępu oparta na zakresach
  • Ograniczanie liczby żądań — Ochrona przed DDoS i atakami brute force
  • Ochrona danych — Szyfrowanie danych w spoczynku i w ruchu

Krytyczne: Nigdy nie umieszczaj kluczy API bezpośrednio w kodzie. Używaj zmiennych środowiskowych lub systemów zarządzania sekretami.

Zarządzanie sekretami

Najlepsze praktyki

  • Przechowuj w zmiennych środowiskowych, nie w kodzie
  • Używaj systemów zarządzania sekretami (Vault, AWS Secrets Manager)
  • Rotuj klucze zgodnie z harmonogramem (co najmniej kwartalnie)
  • Regularnie audytuj logi dostępu
  • Natychmiast rotuj skompromitowane klucze
  • Używaj różnych kluczy dla różnych środowisk

Implementacja

Bezpieczne ładowanie klucza API
// Ładuj ze środowiska, nie z kodu
const apiKey = process.env.SMARTMONEY_API_KEY;
if (!apiKey) throw new Error('API key not configured');
// Używaj w nagłówkach, nigdy nie loguj
const headers = {
'Authorization': `Bearer ${apiKey}`
};
Uzyskaj swój klucz API w 30 sekund

Gotowy do budowania? Pobierz darmowy klucz API (200 wywołań/dzień, bez karty) i zacznij pobierać dane na żywo dotyczące wielorybów, finansowania i łańcucha bloków.

Uzyskaj swój klucz API →

Bezpieczeństwo sieciowe

Wymagania TLS/SSL

  • Minimalnie TLS 1.2 wymagane (zalecane TLS 1.3)
  • Weryfikuj certyfikaty SSL w produkcji
  • Nigdy nie wyłączaj walidacji certyfikatów
  • Używaj przypinania certyfikatów w aplikacjach mobilnych

Biała lista IP

Konfiguracja białej listy IP
// Ogranicz dostęp API do swoich serwerów
POST /v1/account/ip-whitelist
-d '{
"cidr": "203.0.113.0/24",
"description": "Production servers"
}'

Ograniczanie liczby żądań i DDoS

Implementacja backoff

Backoff wykładniczy
// Zaimplementuj backoff wykładniczy na 429
async function apiCall(retries = 0) {
try {
return await fetch(url, options);
} catch (err) {
if (err.status === 429 && retries < 5) {
const delay = Math.pow(2, retries) * 1000;
await sleep(delay);
return apiCall(retries + 1);
}
throw err;
}
}

Szyfrowanie i SSL/TLS

Walidacja certyfikatów

Bezpieczny HTTPS
// Node.js: Weryfikuj certyfikaty (domyślne zachowanie)
const https = require('https');
const agent = new https.Agent({
rejectUnauthorized: true, // NIGDY nie wyłączaj!
minVersion: 'TLSv1.2'
});

Nagłówki bezpieczeństwa

Wymagane nagłówki

Nagłówek Cel
X-Request-ID Śledzenie i audytowanie
User-Agent Identyfikacja aplikacji
Accept Format żądania (application/json)
Authorization Dane uwierzytelniające

Ochrona przed DDoS

Ochrona Smart Money

  • Ochrona przed DDoS przez Cloudflare (warstwa 3/4 i warstwa 7)
  • Ograniczanie liczby żądań na klucz API
  • Geograficzne limity liczby żądań
  • Automatyczne wykrywanie i łagodzenie

Twoje obowiązki

  • Zaimplementuj limit czasu żądania (30 sekund)
  • Używaj puli połączeń
  • Zaimplementuj wzorzec wyłącznika bezpieczeństwa
  • Monitoruj nietypową aktywność

Reagowanie na incydenty

Jeśli Twój klucz został skompromitowany

  1. Natychmiast — Wywołaj punkt końcowy odwołania klucza API
  2. Sprawdź logi — Przejrzyj logi dostępu API pod kątem nieautoryzowanego użycia
  3. Audyt — Sprawdź saldo i transakcje pod kątem podejrzanej aktywności
  4. Generuj — Utwórz nowy klucz API
  5. Wdrażaj — Zaktualizuj aplikację nowym kluczem
  6. Monitoruj — Obserwuj pod kątem ciągłego nieautoryzowanego dostępu

Zgodność

Zgodność ze standardami

  • SOC 2 Type II — Certyfikowane kontrole bezpieczeństwa
  • ISO 27001 — Zarządzanie bezpieczeństwem informacji
  • RODO — Zgodność z ochroną danych osobowych
  • PCI DSS — Standardy branży kart płatniczych

Lista kontrolna bezpieczeństwa

Przed produkcją

  • Klucze API w zmiennych środowiskowych, nie w kodzie
  • HTTPS wymuszony, certyfikaty zweryfikowane
  • Limitowanie szybkości i mechanizm backoff wdrożony
  • Rotacja sekretów zaplanowana kwartalnie
  • Nagłówki bezpieczeństwa prawidłowo skonfigurowane
  • Logowanie skonfigurowane (brak logowania poświadczeń)

Produkcja w toku

  • Codziennie monitoruj logi dostępu do API
  • Rotuj klucze zgodnie z harmonogramem
  • Przeprowadzaj audyt bezpieczeństwa kwartalnie
  • Aktualizuj zależności pod kątem luk w zabezpieczeniach
  • Testuj procedury reagowania na incydenty
  • Przeglądaj i aktualizuj polityki bezpieczeństwa

Zabezpiecz swoją integrację

Bezpieczeństwo klasy enterprise dla Smart Money API. Wdrażaj najlepsze praktyki z kompleksową dokumentacją i wsparciem.

Zobacz funkcje bezpieczeństwa
Wszystkie plany obejmują szyfrowanie, limitowanie szybkości i logowanie audytowe.

Powiązane zasoby

Zaawansowane uwierzytelnianie →

OAuth 2.0, JWT, wzorce rotacji kluczy

Przewodnik po limitowaniu szybkości →

Zarządzaj limitami i szybkością

Monitorowanie →

Monitorowanie bezpieczeństwa i alerty
Rozpocznij za darmo — 200 wywołań/dzień, bez karty

Otrzymuj na żywo przepływy wielorybów, finansowanie, otwarte zainteresowanie i dane on-chain z 3 giełd z jednego API. Darmowy poziom, bez karty kredytowej, aktualizuj w dowolnym momencie.

Rozpocznij za darmo →
Wypróbuj konsolę API na żywo → (konto nie jest wymagane)