Documentação da API

Melhores Práticas e Reforço de Segurança de API

Implemente práticas abrangentes de segurança para integração com a Smart Money API. Domine a gestão de segredos, segurança de rede, limitação de taxa e conformidade.

Publicado em 21 de março de 2026 • 19 min de leitura • Crítico

Visão Geral de Segurança

A Smart Money API segue as melhores práticas do setor para segurança. Este guia aborda suas responsabilidades na proteção de sua integração e dos dados do usuário.

Camadas de segurança:

  • Camada de Transporte — Criptografia TLS 1.3 para todo o tráfego
  • Camada de Autenticação — Chaves de API, OAuth 2.0, MFA
  • Camada de Autorização — Controle de acesso baseado em escopo
  • Limitação de Taxa — Proteção contra DDoS e força bruta
  • Proteção de Dados — Criptografia em repouso e em trânsito

Crítico: Nunca codifique chaves de API diretamente no código. Use variáveis de ambiente ou sistemas de gestão de segredos.

Gestão de Segredos

Melhores Práticas

  • Armazene em variáveis de ambiente, não no código
  • Use sistemas de gestão de segredos (Vault, AWS Secrets Manager)
  • Rotacione as chaves periodicamente (mínimo trimestral)
  • Audite os logs de acesso regularmente
  • Rotacione imediatamente chaves comprometidas
  • Use chaves diferentes para ambientes diferentes

Implementação

Carregamento Seguro de Chave de API
// Carregue do ambiente, não codificado
const apiKey = process.env.SMARTMONEY_API_KEY;
if (!apiKey) throw new Error('API key not configured');
// Use em cabeçalhos, nunca registre
const headers = {
'Authorization': `Bearer ${apiKey}`
};
Obtenha sua chave de API em 30 segundos

Pronto para construir? Obtenha uma chave de API gratuita (200 chamadas/dia, sem cartão) e comece a puxar dados ao vivo de baleias, financiamento e on-chain.

Obtenha sua chave de API →

Segurança de Rede

Requisitos TLS/SSL

  • Mínimo TLS 1.2 obrigatório (TLS 1.3 recomendado)
  • Verifique certificados SSL em produção
  • Nunca desative a validação de certificado
  • Use fixação de certificado para aplicativos móveis

Lista Branca de IP

Configuração de Lista Branca de IP
// Restrinja o acesso da API aos seus servidores
POST /v1/account/ip-whitelist
-d '{
"cidr": "203.0.113.0/24",
"description": "Production servers"
}'

Limitação de Taxa & DDoS

Implementando Backoff

Backoff Exponencial
// Implemente backoff exponencial no 429
async function apiCall(retries = 0) {
try {
return await fetch(url, options);
} catch (err) {
if (err.status === 429 && retries < 5) {
const delay = Math.pow(2, retries) * 1000;
await sleep(delay);
return apiCall(retries + 1);
}
throw err;
}
}

Criptografia & SSL/TLS

Validação de Certificado

HTTPS Seguro
// Node.js: Verifique certificados (comportamento padrão)
const https = require('https');
const agent = new https.Agent({
rejectUnauthorized: true, // NUNCA desative!
minVersion: 'TLSv1.2'
});

Cabeçalhos de Segurança

Cabeçalhos Obrigatórios

Cabeçalho Propósito
X-Request-ID Rastreamento e auditoria
User-Agent Identifique seu aplicativo
Accept Formato de solicitação (application/json)
Authorization Credenciais de autenticação

Proteção contra DDoS

Proteção da Smart Money

  • Proteção Cloudflare contra DDoS (camada 3/4 e camada 7)
  • Limitação de taxa por chave de API
  • Limites geográficos de taxa
  • Detecção e mitigação automática

Suas Responsabilidades

  • Implemente tempo limite de solicitação (30 segundos)
  • Use pool de conexões
  • Implemente o padrão de disjuntor
  • Monitore atividades incomuns

Resposta a Incidentes

Se Sua Chave for Comprometida

  1. Imediatamente — Chame o endpoint de revogação de chave de API
  2. Verifique logs — Revise os logs de acesso à API para uso não autorizado
  3. Auditoria — Verifique saldo, transações para atividades suspeitas
  4. Gerar — Crie uma nova chave de API
  5. Implementar — Atualizar aplicação com nova chave
  6. Monitorar — Monitorar acessos não autorizados contínuos

Conformidade

Conformidade com Padrões

  • SOC 2 Tipo II — Controles de segurança certificados
  • ISO 27001 — Gestão de segurança da informação
  • GDPR — Conformidade com privacidade de dados
  • PCI DSS — Padrões da indústria de cartões de pagamento

Lista de Verificação de Segurança

Pré-Produção

  • Chaves de API em variáveis de ambiente, não no código
  • HTTPS forçado, certificados validados
  • Limitação de taxa e backoff implementados
  • Rotação de segredos agendada trimestralmente
  • Cabeçalhos de segurança configurados corretamente
  • Registro de logs configurado (sem credenciais registradas)

Produção Contínua

  • Monitorar logs de acesso à API diariamente
  • Rotacionar chaves conforme agendamento
  • Executar auditoria de segurança trimestralmente
  • Atualizar dependências para vulnerabilidades
  • Testar procedimentos de resposta a incidentes
  • Revisar e atualizar políticas de segurança

Proteja Sua Integração

Segurança de nível empresarial para Smart Money API. Implemente as melhores práticas com documentação abrangente e suporte.

Ver Recursos de Segurança
Todos os planos incluem criptografia, limitação de taxa e registro de auditoria.

Recursos Relacionados

Autenticação Avançada →

OAuth 2.0, JWT, padrões de rotação de chaves

Guia de Limitação de Taxa →

Gerenciar cotas e limites de taxa

Monitoramento →

Monitoramento e alertas de segurança
Comece grátis — 200 chamadas/dia, sem cartão

Obtenha dados de fluxo de baleias, financiamento, interesse aberto e on-chain em 3 exchanges a partir de uma API. Plano gratuito, sem cartão de crédito, atualize quando quiser.

Comece grátis →
Experimente o console de API ao vivo → (sem conta necessária)