概述秘密管理網路安全速率限制加密與 SSL 安全標頭 DDoS 防護事件應對合規性安全檢查清單

API 文件

API 安全最佳實踐與強化

為 Smart Money API 整合實施全面的安全實踐。掌握秘密管理、網路安全、速率限制和合規性。

發佈於 2026 年 3 月 21 日 • 19 分鐘閱讀 • 關鍵

安全概述

Smart Money API 遵循業界最佳安全實踐。本指南涵蓋您在保護整合和用戶數據方面的責任。

安全層：

傳輸層 — 所有流量使用 TLS 1.3 加密
認證層 — API 金鑰、OAuth 2.0、MFA
授權層 — 基於範圍的存取控制
速率限制 — DDoS 和暴力破解防護
數據保護 — 靜態和傳輸中的加密

關鍵： 切勿在程式碼中硬編碼 API 金鑰。使用環境變數或秘密管理系統。

秘密管理

最佳實踐

儲存在環境變數中，而非程式碼中
使用秘密管理系統（Vault、AWS Secrets Manager）
定期輪換金鑰（至少每季一次）
定期審核存取日誌
立即輪換被洩露的金鑰
為不同環境使用不同的金鑰

實施

安全的 API 金鑰載入
// 從環境變數載入，而非硬編碼
const apiKey = process.env.SMARTMONEY_API_KEY;
if (!apiKey) throw new Error('API key not configured');
// 用於標頭，切勿記錄
const headers = {
  'Authorization': `Bearer ${apiKey}`
};

30 秒內取得您的 API 金鑰

準備好開始了嗎？免費取得 API 金鑰（每天 100 次呼叫，無需信用卡），並開始獲取即時大戶、資金和鏈上數據。

取得您的 API 金鑰 →

網路安全

TLS/SSL 要求

最低 TLS 1.2 必要（建議使用 TLS 1.3）
在生產環境中驗證 SSL 憑證
切勿停用憑證驗證
在行動應用程式中使用憑證固定

IP 白名單

IP 白名單設定
// 限制 API 存取至您的伺服器
POST /v1/account/ip-whitelist
  -d '{
    "cidr": "203.0.113.0/24",
    "description": "生產伺服器"
  }'

速率限制與 DDoS

實施退避機制

指數退避
// 在 429 時實施指數退避
async function apiCall(retries = 0) {
  try {
    return await fetch(url, options);
  } catch (err) {
    if (err.status === 429 && retries < 5) {
      const delay = Math.pow(2, retries) * 1000;
      await sleep(delay);
      return apiCall(retries + 1);
    }
    throw err;
  }
}

加密與 SSL/TLS

憑證驗證

安全的 HTTPS
// Node.js：驗證憑證（預設行為）
const https = require('https');
const agent = new https.Agent({
  rejectUnauthorized: true,  // 切勿停用！
  minVersion: 'TLSv1.2'
});

安全標頭

必要標頭

標頭	目的
X-Request-ID	追蹤與審核
User-Agent	識別您的應用程式
Accept	請求格式 (application/json)
Authorization	認證憑證

DDoS 防護

Smart Money 的防護

Cloudflare DDoS 防護（第 3/4 層和第 7 層）
每個 API 金鑰的速率限制
地理速率限制
自動檢測與緩解

您的責任

實施請求超時（30 秒）
使用連線池
實施斷路器模式
監控異常活動

事件應對

如果您的金鑰被洩露

立即 — 呼叫撤銷 API 金鑰端點
檢查日誌 — 審核 API 存取日誌以查找未經授權的使用
審核 — 檢查餘額、交易以查找可疑活動
生成 — 建立新的 API 金鑰
部署 — 使用新金鑰更新應用程式
監控 — 監測持續的未授權存取

合規

標準合規

SOC 2 Type II — 認證的安全控制
ISO 27001 — 資訊安全管理
GDPR — 資料隱私合規
PCI DSS — 支付卡產業標準

安全檢查清單

預生產環境

API金鑰存放在環境變數中，而非代碼內
強制使用HTTPS，驗證憑證
實施速率限制和退避機制
每季度排程更換密鑰
正確配置安全標頭
配置日誌記錄（不記錄憑證）

生產環境持續維護

每日監控API存取日誌
按排程更換金鑰
每季度執行安全審計
更新依賴項以修復漏洞
測試事件應變程序
審查並更新安全政策

保護您的整合

Smart Money API的企業級安全。透過全面的文件與支援實施最佳實踐。

查看安全功能

所有方案均包含加密、速率限制和審計日誌記錄。