Mục lục

Tổng quan Quản lý bí mật Bảo mật mạng Giới hạn tốc độ Mã hóa & SSL Tiêu đề bảo mật Bảo vệ DDoS Xử lý sự cố Tuân thủ Danh sách kiểm tra bảo mật

Tài liệu API

Các phương pháp bảo mật API tốt nhất và tăng cường bảo mật

Triển khai các biện pháp bảo mật toàn diện cho tích hợp Smart Money API. Làm chủ quản lý bí mật, bảo mật mạng, giới hạn tốc độ và tuân thủ.

Xuất bản ngày 21 tháng 3 năm 2026 • 19 phút đọc • Quan trọng

Tổng quan bảo mật

Smart Money API tuân thủ các phương pháp bảo mật tốt nhất trong ngành. Hướng dẫn này bao gồm trách nhiệm của bạn trong việc bảo vệ tích hợp và dữ liệu người dùng.

Các lớp bảo mật:

Lớp vận chuyển — Mã hóa TLS 1.3 cho mọi lưu lượng
Lớp xác thực — Khóa API, OAuth 2.0, MFA
Lớp ủy quyền — Kiểm soát truy cập dựa trên phạm vi
Giới hạn tốc độ — Bảo vệ DDoS và tấn công brute force
Bảo vệ dữ liệu — Mã hóa khi lưu trữ và truyền tải

Quan trọng: Không bao giờ mã cứng khóa API trong code. Sử dụng biến môi trường hoặc hệ thống quản lý bí mật.

Quản lý bí mật

Phương pháp tốt nhất

Lưu trữ trong biến môi trường, không phải trong code
Sử dụng hệ thống quản lý bí mật (Vault, AWS Secrets Manager)
Xoay vòng khóa theo lịch trình (tối thiểu hàng quý)
Kiểm tra nhật ký truy cập thường xuyên
Xoay vòng khóa bị xâm phạm ngay lập tức
Sử dụng khóa khác nhau cho các môi trường khác nhau

Triển khai

Tải khóa API an toàn
// Tải từ môi trường, không mã cứng
const apiKey = process.env.SMARTMONEY_API_KEY;
if (!apiKey) throw new Error('API key not configured');
// Sử dụng trong tiêu đề, không ghi log
const headers = {
  'Authorization': `Bearer ${apiKey}`
};

Nhận khóa API của bạn trong 30 giây

Sẵn sàng xây dựng? Lấy khóa API miễn phí (100 lần gọi/ngày, không cần thẻ) và bắt đầu truy cập dữ liệu live về cá voi, funding và on-chain.

Nhận khóa API →

Bảo mật mạng

Yêu cầu TLS/SSL

Tối thiểu TLS 1.2 bắt buộc (khuyến nghị TLS 1.3)
Xác minh chứng chỉ SSL trong môi trường production
Không bao giờ tắt xác thực chứng chỉ
Sử dụng certificate pinning cho ứng dụng di động

Danh sách trắng IP

Thiết lập danh sách trắng IP
// Giới hạn truy cập API vào máy chủ của bạn
POST /v1/account/ip-whitelist
  -d '{
    "cidr": "203.0.113.0/24",
    "description": "Production servers"
  }'

Giới hạn tốc độ & DDoS

Triển khai backoff

Backoff theo cấp số nhân
// Triển khai backoff theo cấp số nhân khi gặp lỗi 429
async function apiCall(retries = 0) {
  try {
    return await fetch(url, options);
  } catch (err) {
    if (err.status === 429 && retries < 5) {
      const delay = Math.pow(2, retries) * 1000;
      await sleep(delay);
      return apiCall(retries + 1);
    }
    throw err;
  }
}

Mã hóa & SSL/TLS

Xác thực chứng chỉ

HTTPS an toàn
// Node.js: Xác minh chứng chỉ (hành vi mặc định)
const https = require('https');
const agent = new https.Agent({
  rejectUnauthorized: true,  // KHÔNG BAO GIỜ tắt!
  minVersion: 'TLSv1.2'
});

Tiêu đề bảo mật

Tiêu đề bắt buộc

Tiêu đề	Mục đích
X-Request-ID	Theo dõi và kiểm tra
User-Agent	Xác định ứng dụng của bạn
Accept	Định dạng yêu cầu (application/json)
Authorization	Thông tin xác thực

Bảo vệ DDoS

Bảo vệ của Smart Money

Bảo vệ DDoS bằng Cloudflare (lớp 3/4 và lớp 7)
Giới hạn tốc độ theo khóa API
Giới hạn tốc độ theo địa lý
Phát hiện và giảm thiểu tự động

Trách nhiệm của bạn

Triển khai thời gian chờ yêu cầu (30 giây)
Sử dụng connection pooling
Triển khai mẫu circuit breaker
Giám sát hoạt động bất thường

Xử lý sự cố

Nếu khóa của bạn bị xâm phạm

Ngay lập tức — Gọi endpoint thu hồi khóa API
Kiểm tra nhật ký — Xem lại nhật ký truy cập API để phát hiện sử dụng trái phép
Kiểm toán — Kiểm tra số dư, giao dịch để phát hiện hoạt động đáng ngờ
Tạo — Tạo khóa API mới
Triển khai — Cập nhật ứng dụng với khóa mới
Giám sát — Theo dõi các truy cập trái phép liên tục

Tuân thủ

Tuân thủ Tiêu chuẩn

SOC 2 Loại II — Kiểm soát bảo mật được chứng nhận
ISO 27001 — Quản lý bảo mật thông tin
GDPR — Tuân thủ quyền riêng tư dữ liệu
PCI DSS — Tiêu chuẩn ngành thẻ thanh toán

Danh sách Kiểm tra Bảo mật

Tiền Sản xuất

Khóa API trong biến môi trường, không phải trong mã
HTTPS bắt buộc, chứng chỉ được xác thực
Giới hạn tốc độ và backoff được triển khai
Xoay secrets theo lịch trình hàng quý
Tiêu đề bảo mật được cấu hình đúng cách
Nhật ký được cấu hình (không ghi lại thông tin đăng nhập)

Đang Sản xuất

Giám sát nhật ký truy cập API hàng ngày
Xoay khóa theo lịch trình
Chạy kiểm toán bảo mật hàng quý
Cập nhật các phụ thuộc để khắc phục lỗ hổng
Kiểm tra quy trình ứng phó sự cố
Xem xét và cập nhật chính sách bảo mật

Bảo mật Tích hợp của Bạn

Bảo mật cấp doanh nghiệp cho Smart Money API. Triển khai các phương pháp tốt nhất với tài liệu toàn diện và hỗ trợ.

Xem Tính năng Bảo mật

Tất cả các gói bao gồm mã hóa, giới hạn tốc độ và ghi nhật ký kiểm toán.