Wie man eine Exchange-API aufruft: Keys, Signaturen und Fehlercodes

Die meisten Leute, die zum ersten Mal versuchen, eine Exchange-API aufzurufen, scheitern nicht an der Handelslogik. Sie scheitern am Handshake — ein Zeitstempel, der 40 Sekunden veraltet ist, ein Berechtigungs-Checkbox, die sie nie angeklickt haben, oder eine Passphrase mit einem Bindestrich darin. Die Börse weist die Anfrage zurück, gibt eine Nummer zurück, und das Tutorial, dem sie folgten, erklärt nicht, was diese Nummer bedeutet.

Dieser Leitfaden geht den gesamten Weg: Was eine Exchange-API ist, welche Aufrufe einen Key benötigen, wie die Signatur tatsächlich erstellt wird und — der Teil, den fast niemand veröffentlicht — eine Zuordnung der spezifischen Fehlercodes, auf die Sie stoßen werden, zusammen mit der Lösung für jeden einzelnen. Die Beispiele verwenden den WEEX API-Integrationsleitfaden, da dies eines der wenigen Entwicklerzentren von Börsen ist, das sein Berechtigungsmodell, die Ausbreitungsverzögerung und die Ratenbegrenzungen pro Operation offen veröffentlicht. Alles unten wurde am 28. Juli 2026 anhand der Live-WEEX-Entwicklerdokumentation überprüft; das Spot-API FAQ der Plattform trägt einen Stand vom 14. April 2026.

Was eine Exchange-API tut und welche Aufrufe einen Key benötigen

Eine Exchange-API ist eine Reihe von HTTP- und WebSocket-Endpunkten, die es Ihrer Software ermöglichen, das zu tun, was Sie sonst durch Klicken tun würden: Preise lesen, einen Kontostand prüfen, eine Order platzieren, sie stornieren. Nichts Mystischeres als das.

Die Trennung, die operativ wichtig ist, ist öffentlich versus privat. Öffentliche Endpunkte bedienen Marktdaten und Plattformkonfiguration, und sie benötigen überhaupt keine Authentifizierung — Sie können sie von einem Browser aus aufrufen. Private Endpunkte betreffen Ihr Konto, und jeder einzelne muss eine Signatur tragen.

Eine praktische Konsequenz: Sie können die gesamte Datenhälfte eines Bots bauen und testen, bevor Sie jemals einen Key generieren. Tun Sie das zuerst. Es kostet nichts und deckt Ihre Symbolformatierungs- und Candle-Alignment-Fehler auf, während der Explosionsradius noch bei Null liegt.

Wie man einen API-Key erstellt und seine Berechtigungen festlegt

Auf WEEX ist der Ablauf Konto → API-Management → API-Key erstellen, gefolgt von einer Sicherheitsüberprüfung. Jedes Konto kann bis zu 10 API-Key-Gruppen halten, was ausreicht, um separate Keys für Forschung, Staging und Produktion zu betreiben — und das sollten Sie tun, denn ein kompromittierter Key ist dann ein eingedämmter Vorfall statt eines totalen.

Drei Anmeldeinformationen kommen aus diesem Bildschirm, und sie sind nicht austauschbar:

• APIKey — die öffentliche Kennung, die die Börse verwendet, um Sie zu identifizieren.
• SecretKey — der private Key, mit dem Ihr Code signiert. Er wird einmal angezeigt.
• Passphrase — eine Phrase, die Sie wählen. Wenn Sie sie verlieren, kann sie nicht wiederhergestellt oder zurückgesetzt werden; Sie löschen den Key und fangen von vorne an. WEEX verlangt auch, dass sie keine Sonderzeichen enthält — nur alphanumerisch. Dies ist eine echte Einschränkung, keine Empfehlung, und eine Passphrase mit Satzzeichen darin ist eine überraschend häufige Ursache für Authentifizierungsfehler.

Das Berechtigungsmodell ist der Teil, bei dem es sich lohnt, langsamer zu werden. Ein neu erstellter Key ist standardmäßig schreibgeschützt, und Handelsbereiche sind Opt-in und unabhängig.

Zwei Dinge folgen aus dieser Tabelle. Erstens, wenn Sie einen Spot-Bot gebaut und nur Readonly angeklickt haben, wird jede Order, die Sie senden, abgelehnt — dies ist die häufigste "mein Key funktioniert nicht"-Beschwerde. Zweitens, und nützlicher: Es gibt keine Auszahlungsberechtigung in dieser Liste. Ein WEEX API-Key kann keine Gelder von der Plattform bewegen. Diese strukturelle Grenze ist mehr wert als jeder Rat zur Key-Hygiene, da sie das, was ein Angreifer mit einem gestohlenen Key tun kann, auf den Handel begrenzt, den Sie nicht autorisiert haben, nicht auf ein geleertes Wallet.

Bevor Sie diesen Bildschirm verlassen, binden Sie eine IP-Adresse. WEEX markiert uneingeschränkte Keys explizit als Sicherheitsrisiko, und die Whitelist ist der Unterschied zwischen einem geleakten Key, der ein Notfall ist, und einem, der ein Ärgernis ist.

Ein Timing-Gotcha, das die Dokumentation klar angibt und die meisten Drittanbieter-Leitfäden auslassen: neu erstellte oder geänderte API-Keys benötigen etwa 15 Minuten, um sich im System zu verbreiten. Wenn Ihr erster Aufruf sofort fehlschlägt, nachdem Sie eine neue Berechtigungsbox angeklickt haben, warten Sie es ab, bevor Sie anfangen, Ihren Signaturcode umzuschreiben. Viele Leute haben eine Stunde lang funktionierenden Code wegen dieser Sache debuggt.

Vollständige schrittweise Einrichtungsschritte finden Sie im WEEX API-Integrationsvorbereitungsleitfaden.

Wie man eine Exchange-API aufruft: die vier Header und der Signaturstring

Hier ist der Mechanismus, auf das Wesentliche reduziert. Jede private Anfrage trägt vier Authentifizierungs-Header plus einen Content-Type. Die Börse berechnet Ihre Signatur unabhängig von der Anfrage, die sie erhalten hat; wenn ihr Ergebnis mit Ihrem übereinstimmt, ist die Anfrage authentisch.

Die Signatur selbst ist ein Hash eines Strings, den Sie in einer festen Reihenfolge zusammenstellen:

timestamp + HTTP-Methode in Großbuchstaben + Anforderungspfad + ? + Abfragestring + Body

Verketten Sie diese, hashen Sie mit HMAC SHA256 unter Verwendung Ihres SecretKey, dann Base64-codieren Sie das Ergebnis. Wenn es keinen Abfragestring gibt, lassen Sie das ? und das Abfragesegment weg. Wenn es keinen Body gibt, lassen Sie ihn weg. Die Methode muss in Großbuchstaben sein. Der Pfad ist der Endpunktpfad, nicht die vollständige URL.

Drei Details verursachen die Mehrheit der Signatur-Nichtübereinstimmungen:

1. Das Zeitstempelfenster beträgt 30 Sekunden. WEEX lehnt jede Anfrage ab, deren ACCESS-TIMESTAMP mehr als 30 Sekunden von der Serverzeit abweicht. Wenn die Uhr Ihrer Maschine driftet — und Container und VMs driften ständig — erhalten Sie intermittierende Fehler, die zufällig aussehen. Fragen Sie den Serverzeit-Endpunkt der Börse beim Start ab, berechnen Sie den Offset und wenden Sie ihn an. Vertrauen Sie nicht der lokalen Uhr.
2. Der Body, den Sie signieren, muss byte-identisch mit dem Body sein, den Sie senden. Das Neu-Serialisieren von JSON zwischen Signieren und Senden ordnet Keys neu oder ändert die numerische Formatierung, und der Hash stimmt nicht mehr überein. Signieren Sie den exakten String, den Sie übertragen werden.
3. Symbole sind case-sensitive und müssen in Großbuchstaben sein, und sie müssen die exakten Werte sein, die vom Produkt/Symbol-Endpunkt der Plattform zurückgegeben werden. Das Format zu erraten ist der Weg, wie Sie einen ungültigen Symbolfehler bei einem Asset erhalten, das eindeutig existiert.

Endpunkte befinden sich auf separaten Domains nach Produktlinie — Spot-Anfragen gehen an api-spot.weex.com, Futures an api-contract.weex.com, mit WebSocket-Streams auf ws-spot.weex.com. Einen Spot-Aufruf an den Futures-Host zu richten, erzeugt Fehler, die wie Auth-Probleme aussehen, aber keine sind.

Warum schlägt mein erster API-Aufruf fehl? Fehlercodes entschlüsselt

Hier hört ein Tutorial normalerweise auf und ein Support-Ticket beginnt. Die Tabelle unten ordnet die Authentifizierungs- und Berechtigungsfehler, die Sie bei einer ersten Integration am wahrscheinlichsten sehen werden, ihrer tatsächlichen Ursache und Lösung zu.

Dieser WebSocket 403 verdient eine Erwähnung. Er hat nichts mit Ihren Anmeldeinformationen zu tun, gibt keinen Fehlercode zum Suchen und wird durch ein Versäumnis verursacht, das die meisten HTTP-Bibliotheken stillschweigend machen. Es ist die Art von Fehler, die einen Nachmittag frisst.

Die vollständige Liste finden Sie in der WEEX API-Fehlercode-Referenz.

Was sind die Exchange-API-Ratenlimits?

Ratenlimits sind die Sache, die beim Testen gut funktioniert und in der Produktion bricht, weil sie nur beißen, wenn die Volatilität steigt und Ihr Bot anfängt zu feuern. Der Standard auf WEEX sind 10 Anfragen pro Sekunde, mit engeren veröffentlichten Obergrenzen für spezifische Operationen.

Zwei Lesarten dieser Tabelle sind es wert, sie zu haben. Die Batch-Regel ist die wichtige: Ein Batch, der vier Handelspaare mit zehn Orders jeweils umfasst, zählt als eine einzelne Anfrage. Jede Market-Making- oder Grid-Strategie, die Orders einzeln einreicht, verbrennt ihr Budget ohne Grund. Und die Tatsache, dass Stornierungslimits lockerer sind als Platzierungslimits, sagt Ihnen, dass die Plattform Quote-Churn erwartet — Quoting-Strategien sind budgetiert, Einzel-Order-Spam nicht.

Wenn Sie 429 erreichen, fahren Sie exponentiell zurück. Sofortiges Wiederholen in einer engen Schleife ist der Weg, wie Konten Risikokontrollen auslösen, und WEEX wird automatisch API-Berechtigungen auf einem Konto deaktivieren, das anhaltend hochfrequente ungültige Anfragen generiert. Sie wiederherzustellen bedeutet, den Support zu kontaktieren. Die veröffentlichten Ratenlimit- und Berechtigungshinweise finden Sie im WEEX API FAQ.

Ist Exchange-API-Handel sicher?

Sicher ist der falsche Rahmen. Ein API-Key ist eine begrenzte Delegation von Autorität, und die Frage ist, wie eng Sie sie begrenzen.

Die strukturellen Schutzmaßnahmen erledigen den Großteil der Arbeit. Bereichsberechtigungen bedeuten, dass ein Readonly-Key nicht handeln kann. Das Fehlen einer Auszahlungsberechtigung auf WEEX-Keys bedeutet, dass kein Key Ihre Gelder von der Plattform bewegen kann. IP-Whitelisting bedeutet, dass ein gestohlener Key aus dem Netzwerk eines Angreifers nutzlos ist. Unabhängige Spot- und Futures-Bereiche bedeuten, dass ein Spot-Bot-Fehler keine gehebelte Position eröffnen kann. Stapeln Sie diese vier und der realistische schlimmste Fall sinkt von "Konto geleert" auf "unerwünschte Trades von einer bekannten IP" — wiederherstellbar und erkennbar.

Was übrig bleibt, liegt bei Ihnen:

• Committen Sie niemals Keys in ein Repository oder betten Sie sie in clientseitigen Code ein. Verwenden Sie Umgebungsvariablen oder einen Secrets Manager.
• Führen Sie separate Keys pro Umgebung, damit das Widerrufen eines geleakten Staging-Keys nicht die Produktion anhält.
• Rotieren Sie nach Zeitplan und löschen Sie Keys in dem Moment, in dem Sie eine Exposition vermuten.
• Loggen Sie jede Antwort, einschließlich Fehler. Ein Anstieg der Fehlerrate ist oft das erste Anzeichen dafür, dass etwas nicht stimmt, und Sie können nicht sehen, was Sie nicht aufzeichnen.
• Bauen Sie Schutzschalter in den Bot selbst ein — maximale Orderfrequenz, maximales Slippage, maximale Position — denn die Limits der Börse schützen die Börse, nicht Ihren P&L.

Der Fehlermodus, der Leute tatsächlich Geld kostet, ist selten ein gestohlener Key. Es ist ein Bot ohne Kill-Switch, der weiterhin ein kaputtes Signal durch eine volatile Stunde handelt. Schreiben Sie den Kill-Switch, bevor Sie die Strategie schreiben.

Testen Sie im Demo-Modus, bevor Sie eine Live-Order senden

WEEX stellt simulierte Futures-Endpunkte bereit — Saldo, Order platzieren, Positionen, Orderhistorie — die das Live-Interface spiegeln und in einem Test-Asset statt in echten USDT abgerechnet werden. Das ist der richtige Ort, um die Teile Ihres Stacks zu trainieren, die am schwierigsten sicher zu testen sind: Teil-Fills, Storno/Ersetzen-Rennen, Reconnect-Logik nach einem WebSocket-Abbruch und ob Ihre Positionsbuchhaltung einen Neustart überlebt.

Ein gestaffelter Rollout, der funktioniert: nur öffentliche Endpunkte → Readonly-Key gegen Live-Daten → Demo-Endpunkte für Order-Lebenszyklus → Live-Key bei Mindestgröße → Skalierung. Jede Stufe fängt eine andere Klasse von Fehlern ein, und nur die letzte kostet Geld.

Ein weiteres operatives Detail, das lang laufende Bots bricht: der WebSocket-Server sendet periodisch einen Ping, und Ihr Client muss mit einem Pong antworten. Wenn Sie mehr als zehnmal nicht antworten, schließt der Server die Verbindung. Ein Bot, der "zufällig nach ein paar Stunden keine Daten mehr empfängt", ist fast immer ein fehlender Pong-Handler.

Ihre Checkliste vor dem ersten Live-Aufruf

Eine Exchange-API korrekt aufzurufen ist eine kurze Liste von Spezifika, kein hartes Problem. Begrenzen Sie den Key genau auf das, was die Strategie benötigt und nicht mehr. Binden Sie eine IP. Halten Sie die Passphrase alphanumerisch und speichern Sie sie irgendwo, wo Sie sie nicht verlieren. Signieren Sie die exakten Bytes, die Sie senden. Synchronisieren Sie Ihre Uhr mit der Börse, nicht Ihrem Server. Batchen Sie Ihre Orders. Lesen Sie den Fehlercode, bevor Sie Ihren Code umschreiben — er sagt Ihnen normalerweise die Antwort. Und geben Sie der Plattform ihre fünfzehn Minuten, um einen neuen Key zu verbreiten, bevor Sie schlussfolgern, dass etwas kaputt ist.

Wenn Sie das breitere Bild dessen haben möchten, was ein Exchange-API-Stack unterstützt, bevor Sie dagegen bauen, deckt WEEX's Übersicht über API-Handel auf WEEX REST- und WebSocket-Abdeckung, Anwendungsfälle und Bewertungskriterien ab. Wenn Sie bereit sind, Anmeldeinformationen zu generieren und mit der Integration zu beginnen, verlinkt die WEEX API-Seite direkt zur Key-Erstellung und zur vollständigen Entwicklerdokumentation.

FAQ

1. Wie rufe ich eine Exchange-API auf, ohne Code zu schreiben?

Sie können sie nicht direkt aufrufen, aber Sie müssen den Client nicht selbst schreiben. Portfolio-Tracker, Steuertools und Drittanbieter-Bot-Plattformen akzeptieren einen Exchange-API-Key und erledigen die Anfragen für Sie. Geben Sie diesen Tools einen Readonly-Key, es sei denn, sie müssen wirklich handeln — die meisten tun das nicht.

2. Benötigen öffentliche Marktdaten-Endpunkte einen API-Key?

Nein. Preise, Candles, Orderbuch-Tiefe und die Symbolliste sind auf WEEX und den meisten großen Börsen nicht authentifiziert. Der einzige Haken sind WebSocket-Verbindungen, die einen User-Agent Header selbst auf öffentlichen Kanälen erfordern, sonst gibt die Firewall einen 403 zurück.

3. Warum funktioniert mein API-Key für Salden, aber nicht für das Platzieren von Orders?

Weil die Handelsberechtigung von der Leseberechtigung getrennt ist und standardmäßig aus ist. Aktivieren Sie den Spot- oder Futures-Bereich im API-Management, dann warten Sie etwa 15 Minuten, bis sich die Änderung verbreitet hat, bevor Sie es erneut versuchen. Bis dahin werden Sie weiterhin unzureichende Berechtigungsfehler sehen.

4. Kann jemand meine Gelder auszahlen, wenn er meinen API-Key stiehlt?

Nicht auf WEEX — API-Keys sind auf Lesen und Handeln begrenzt, ohne verfügbare Auszahlungsberechtigung. Ein gestohlener Key könnte immer noch unerwünschte Trades platzieren, weshalb IP-Whitelisting und sofortiges Löschen von Keys wichtig sind, aber er kann keine Assets von der Plattform bewegen.

5. Was ist der Zeitstempel-Fehler und wie behebe ich ihn?

Anfragen werden abgelehnt, wenn der signierte Zeitstempel mehr als 30 Sekunden von der Börsen-Serverzeit abweicht. Die Lösung ist, den Serverzeit-Endpunkt abzufragen, wenn Ihre Anwendung startet, den Offset zu speichern und ihn auf jede Signatur anzuwenden, anstatt die lokale Systemuhr zu lesen, die driftet.

6. Unterstützt WEEX TradingView-Alarme oder FIX API?

Beides wird laut dem Dokumentations-Update der Plattform vom April 2026 nicht unterstützt. Integrationen müssen über die REST- und WebSocket-Schnittstellen erfolgen. Prüfen Sie die aktuelle Entwicklerdokumentation, bevor Sie darum herum bauen, da sich unterstützte Protokolle ändern.

7. Wie viele API-Keys kann ein Konto haben?

Bis zu 10 Key-Gruppen. Nutzen Sie diesen Spielraum — separate Keys für Entwicklung, Staging und Produktion bedeuten, dass das Widerrufen eines kompromittierten Anmeldeinformationssatzes nicht Ihren gesamten Betrieb offline nimmt.

Risikowarnung

Krypto-Assets sind hochvolatil und der Handel mit ihnen kann zu teilweisem oder totalem Kapitalverlust führen. API-Handel fügt dem eine eigene Risikoschicht hinzu: ein automatisiertes System führt Fehler mit Maschinengeschwindigkeit aus, und ein Logikfehler, ein veralteter Marktdaten-Feed oder ein fehlender Kill-Switch können Verluste viel schneller anhäufen als manueller Handel. Gehebelte Futures-Positionen, die über eine API eröffnet wurden, können vollständig liquidiert werden. Ratenbegrenzung, Verbindungsverlust und WebSocket-Trennung können Positionen genau in dem Moment unmanaged lassen, in dem Management am wichtigsten ist. API-Anmeldeinformationen sind Inhabergeheimnisse — jeder, der sie hält, kann Ihr Konto handeln, und während WEEX-Keys keine Auszahlungsberechtigung tragen, kann unautorisierter Handel immer noch reale Verluste verursachen. Testen Sie im Demo-Modus, starten Sie mit Mindestgröße, instrumentieren Sie alles und setzen Sie niemals Kapital ein, das Sie nicht verlieren können. Nichts hier ist Anlageberatung.