Документация API

Лучшие практики и усиление безопасности API

Реализуйте комплексные меры безопасности для интеграции Smart Money API. Освойте управление секретами, сетевую безопасность, ограничение запросов и соответствие требованиям.

Опубликовано 21 марта 2026 • 19 минут чтения • Критически важно

Обзор безопасности

Smart Money API следует лучшим отраслевым практикам безопасности. Это руководство охватывает ваши обязанности по защите вашей интеграции и данных пользователей.

Уровни безопасности:

  • Транспортный уровень — Шифрование TLS 1.3 для всего трафика
  • Уровень аутентификации — API-ключи, OAuth 2.0, MFA
  • Уровень авторизации — Контроль доступа на основе областей
  • Ограничение запросов — Защита от DDoS и брутфорса
  • Защита данных — Шифрование в покое и при передаче

Критически важно: Никогда не храните API-ключи в коде. Используйте переменные окружения или системы управления секретами.

Управление секретами

Лучшие практики

  • Храните в переменных окружения, а не в коде
  • Используйте системы управления секретами (Vault, AWS Secrets Manager)
  • Регулярно меняйте ключи (минимум раз в квартал)
  • Регулярно проверяйте логи доступа
  • Немедленно меняйте скомпрометированные ключи
  • Используйте разные ключи для разных окружений

Реализация

Безопасная загрузка API-ключа
// Загружайте из окружения, а не из кода
const apiKey = process.env.SMARTMONEY_API_KEY;
if (!apiKey) throw new Error('API key not configured');
// Используйте в заголовках, никогда не логируйте
const headers = {
'Authorization': `Bearer ${apiKey}`
};
Получите ваш API-ключ за 30 секунд

Готовы к разработке? Получите бесплатный API-ключ (100 вызовов/день, без карты) и начните получать данные о китах, финансировании и блокчейне в реальном времени.

Получите ваш API-ключ →

Сетевая безопасность

Требования к TLS/SSL

  • Минимум TLS 1.2 требуется (рекомендуется TLS 1.3)
  • Проверяйте SSL-сертификаты в продакшене
  • Никогда не отключайте проверку сертификатов
  • Используйте привязку сертификатов для мобильных приложений

Белый список IP

Настройка белого списка IP
// Ограничьте доступ к API ваших серверов
POST /v1/account/ip-whitelist
-d '{
"cidr": "203.0.113.0/24",
"description": "Production servers"
}'

Ограничение запросов и защита от DDoS

Реализация экспоненциальной задержки

Экспоненциальная задержка
// Реализуйте экспоненциальную задержку при коде 429
async function apiCall(retries = 0) {
try {
return await fetch(url, options);
} catch (err) {
if (err.status === 429 && retries < 5) {
const delay = Math.pow(2, retries) * 1000;
await sleep(delay);
return apiCall(retries + 1);
}
throw err;
}
}

Шифрование и SSL/TLS

Проверка сертификатов

Безопасный HTTPS
// Node.js: Проверяйте сертификаты (поведение по умолчанию)
const https = require('https');
const agent = new https.Agent({
rejectUnauthorized: true, // НИКОГДА не отключайте!
minVersion: 'TLSv1.2'
});

Заголовки безопасности

Обязательные заголовки

Заголовок Назначение
X-Request-ID Трассировка и аудит
User-Agent Идентификация вашего приложения
Accept Формат запроса (application/json)
Authorization Учетные данные аутентификации

Защита от DDoS

Защита Smart Money

  • Защита от DDoS Cloudflare (уровни 3/4 и уровень 7)
  • Ограничение запросов на API-ключ
  • Географические ограничения запросов
  • Автоматическое обнаружение и устранение

Ваши обязанности

  • Реализуйте тайм-аут запросов (30 секунд)
  • Используйте пул соединений
  • Реализуйте шаблон автоматического выключателя
  • Мониторьте необычную активность

Реагирование на инциденты

Если ваш ключ скомпрометирован

  1. Немедленно — Вызовите эндпоинт отзыва API-ключа
  2. Проверьте логи — Проверьте логи доступа к API на предмет несанкционированного использования
  3. Аудит — Проверьте баланс и транзакции на подозрительную активность
  4. Создайте — Создайте новый API-ключ
  5. Развернуть — Обновить приложение с новым ключом
  6. Мониторинг — Отслеживание несанкционированного доступа

Соответствие

Соответствие стандартам

  • SOC 2 Type II — Сертифицированные меры безопасности
  • ISO 27001 — Управление информационной безопасностью
  • GDPR — Соответствие требованиям защиты данных
  • PCI DSS — Стандарты индустрии платежных карт

Контрольный список безопасности

Предварительная подготовка

  • API-ключи в переменных окружения, а не в коде
  • HTTPS обязателен, сертификаты проверены
  • Реализовано ограничение запросов и экспоненциальная задержка
  • Плановый ротационный смена секретов раз в квартал
  • Безопасные заголовки правильно настроены
  • Настроено логирование (без записи учетных данных)

Эксплуатация

  • Ежедневный мониторинг логов доступа к API
  • Регулярная смена ключей по графику
  • Проведение аудита безопасности раз в квартал
  • Обновление зависимостей для устранения уязвимостей
  • Тестирование процедур реагирования на инциденты
  • Пересмотр и обновление политик безопасности

Защитите свою интеграцию

Корпоративный уровень безопасности для Smart Money API. Внедрите лучшие практики с подробной документацией и поддержкой.

Просмотреть функции безопасности
Все тарифы включают шифрование, ограничение запросов и аудит логов.

Связанные ресурсы

Расширенная аутентификация →

OAuth 2.0, JWT, схемы ротации ключей

Руководство по ограничению запросов →

Управление квотами и лимитами

Мониторинг →

Мониторинг безопасности и оповещения
Начать бесплатно — 100 вызовов/день, без карты

Получайте данные о потоках китов, финансировании, открытом интересе и ончейн-данных с 3 бирж через один API. Бесплатный тариф, без кредитной карты, можно обновить в любое время.

Начать бесплатно →
Попробовать консоль API в реальном времени → (аккаунт не требуется)