สารบัญ

ภาพรวม การจัดการความลับ ความปลอดภัยของเครือข่าย การจำกัดอัตรา การเข้ารหัสและ SSL ส่วนหัวความปลอดภัย การป้องกัน DDoS การตอบสนองต่อเหตุการณ์ การปฏิบัติตามกฎระเบียบ รายการตรวจสอบความปลอดภัย

เอกสาร API

แนวปฏิบัติและมาตรการเสริมสร้างความปลอดภัยของ API

นำแนวปฏิบัติด้านความปลอดภัยที่ครอบคลุมมาใช้สำหรับการรวม Smart Money API เชี่ยวชาญการจัดการความลับ ความปลอดภัยของเครือข่าย การจำกัดอัตรา และการปฏิบัติตามกฎระเบียบ

เผยแพร่เมื่อ 21 มีนาคม 2026 • อ่าน 19 นาที • สำคัญ

ภาพรวมความปลอดภัย

Smart Money API ปฏิบัติตามแนวปฏิบัติที่ดีที่สุดในอุตสาหกรรมด้านความปลอดภัย คู่มือนี้ครอบคลุมความรับผิดชอบของคุณในการปกป้องการรวมและข้อมูลผู้ใช้ของคุณ

ชั้นความปลอดภัย:

ชั้นการขนส่ง — การเข้ารหัส TLS 1.3 สำหรับการรับส่งข้อมูลทั้งหมด
ชั้นการตรวจสอบสิทธิ์ — คีย์ API, OAuth 2.0, MFA
ชั้นการอนุญาต — การควบคุมการเข้าถึงตามขอบเขต
การจำกัดอัตรา — การป้องกัน DDoS และการโจมตีแบบ brute force
การปกป้องข้อมูล — การเข้ารหัสทั้งในขณะพักและระหว่างการส่ง

สำคัญ: อย่าใส่คีย์ API ในโค้ดโดยตรง ใช้ตัวแปรสภาพแวดล้อมหรือระบบจัดการความลับ

การจัดการความลับ

แนวปฏิบัติที่ดีที่สุด

เก็บในตัวแปรสภาพแวดล้อม ไม่ใช่ในโค้ด
ใช้ระบบจัดการความลับ (Vault, AWS Secrets Manager)
หมุนคีย์ตามกำหนดเวลา (อย่างน้อยทุกไตรมาส)
ตรวจสอบบันทึกการเข้าถึงเป็นประจำ
หมุนคีย์ที่ถูกโจมตีทันที
ใช้คีย์ที่แตกต่างกันสำหรับสภาพแวดล้อมที่แตกต่างกัน

การนำไปใช้

การโหลดคีย์ API อย่างปลอดภัย
// โหลดจากสภาพแวดล้อม ไม่ใช่ใส่ในโค้ด
const apiKey = process.env.SMARTMONEY_API_KEY;
if (!apiKey) throw new Error('API key not configured');
// ใช้ในส่วนหัว อย่าเก็บบันทึก
const headers = {
  'Authorization': `Bearer ${apiKey}`
};

รับคีย์ API ของคุณใน 30 วินาที

พร้อมที่จะสร้าง? รับคีย์ API ฟรี (100 ครั้ง/วัน ไม่ต้องใช้บัตร) และเริ่มดึงข้อมูล whale, funding และ on-chain แบบเรียลไทม์

รับคีย์ API →

ความปลอดภัยของเครือข่าย

ข้อกำหนด TLS/SSL

อย่างน้อย TLS 1.2 จำเป็น (แนะนำ TLS 1.3)
ตรวจสอบใบรับรอง SSL ในสภาพแวดล้อมการผลิต
อย่าปิดการตรวจสอบใบรับรอง
ใช้การปักหมุดใบรับรองสำหรับแอปมือถือ

การอนุญาต IP

การตั้งค่าการอนุญาต IP
// จำกัดการเข้าถึง API เฉพาะเซิร์ฟเวอร์ของคุณ
POST /v1/account/ip-whitelist
  -d '{
    "cidr": "203.0.113.0/24",
    "description": "Production servers"
  }'

การจำกัดอัตราและ DDoS

การนำ Backoff มาใช้

Exponential Backoff
// นำ Exponential Backoff มาใช้เมื่อได้รับสถานะ 429
async function apiCall(retries = 0) {
  try {
    return await fetch(url, options);
  } catch (err) {
    if (err.status === 429 && retries < 5) {
      const delay = Math.pow(2, retries) * 1000;
      await sleep(delay);
      return apiCall(retries + 1);
    }
    throw err;
  }
}

การเข้ารหัสและ SSL/TLS

การตรวจสอบใบรับรอง

HTTPS ที่ปลอดภัย
// Node.js: ตรวจสอบใบรับรอง (พฤติกรรมเริ่มต้น)
const https = require('https');
const agent = new https.Agent({
  rejectUnauthorized: true,  // อย่าปิด!
  minVersion: 'TLSv1.2'
});

ส่วนหัวความปลอดภัย

ส่วนหัวที่จำเป็น

ส่วนหัว	วัตถุประสงค์
X-Request-ID	การติดตามและการตรวจสอบ
User-Agent	ระบุแอปพลิเคชันของคุณ
Accept	รูปแบบคำขอ (application/json)
Authorization	ข้อมูลประจำตัวการตรวจสอบสิทธิ์

การป้องกัน DDoS

การป้องกันของ Smart Money

การป้องกัน DDoS จาก Cloudflare (ชั้น 3/4 และชั้น 7)
การจำกัดอัตราต่อคีย์ API
การจำกัดอัตราตามภูมิศาสตร์
การตรวจจับและลดความเสี่ยงอัตโนมัติ

ความรับผิดชอบของคุณ

กำหนดเวลาคำขอ (30 วินาที)
ใช้การรวมการเชื่อมต่อ
นำรูปแบบ circuit breaker มาใช้
ตรวจสอบกิจกรรมที่ผิดปกติ

การตอบสนองต่อเหตุการณ์

หากคีย์ของคุณถูกโจมตี

ทันที — เรียกปลายทาง revoke API key
ตรวจสอบบันทึก — ตรวจสอบบันทึกการเข้าถึง API สำหรับการใช้ที่ไม่ได้รับอนุญาต
การตรวจสอบ — ตรวจสอบยอดคงเหลือ ธุรกรรมสำหรับกิจกรรมที่น่าสงสัย
สร้าง — สร้างคีย์ API ใหม่
ปรับใช้ — อัปเดตแอปพลิเคชันด้วยคีย์ใหม่
ตรวจสอบ — ตรวจสอบการเข้าถึงโดยไม่ได้รับอนุญาตอย่างต่อเนื่อง

การปฏิบัติตามกฎระเบียบ

การปฏิบัติตามมาตรฐาน

SOC 2 Type II — มาตรการรักษาความปลอดภัยที่ได้รับการรับรอง
ISO 27001 — การจัดการความปลอดภัยของข้อมูล
GDPR — การปฏิบัติตามกฎหมายความเป็นส่วนตัวของข้อมูล
PCI DSS — มาตรฐานอุตสาหกรรมบัตรชำระเงิน

รายการตรวจสอบความปลอดภัย

ก่อนการผลิต

เก็บคีย์ API ในตัวแปรสภาพแวดล้อม ไม่ใช่ในโค้ด
บังคับใช้ HTTPS และตรวจสอบใบรับรอง
มีการจำกัดอัตราการเรียกใช้และระบบ backoff
กำหนดการหมุนเวียนความลับทุกไตรมาส
กำหนดค่าหัวเรื่องความปลอดภัยอย่างถูกต้อง
กำหนดค่าการบันทึกเหตุการณ์ (ไม่บันทึกข้อมูลประจำตัว)

ระหว่างการผลิต

ตรวจสอบบันทึกการเข้าถึง API ทุกวัน
หมุนเวียนคีย์ตามกำหนดการ
ดำเนินการตรวจสอบความปลอดภัยทุกไตรมาส
อัปเดต dependencies เพื่อแก้ไขช่องโหว่
ทดสอบขั้นตอนการตอบสนองต่อเหตุการณ์
ทบทวนและอัปเดตนโยบายความปลอดภัย

รักษาความปลอดภัยให้กับการเชื่อมต่อของคุณ

ความปลอดภัยระดับองค์กรสำหรับ Smart Money API ดำเนินการตามแนวทางปฏิบัติที่ดีที่สุดด้วยเอกสารประกอบและสนับสนุนอย่างครอบคลุม

ดูคุณสมบัติความปลอดภัย

ทุกแผนรวมการเข้ารหัส การจำกัดอัตราการเรียกใช้ และการบันทึกการตรวจสอบ