Jak wywołać API giełdy kryptowalut bez otrzymania blokady

Większość osób, które ponoszą porażkę przy pierwszym wywołaniu API giełdy, nie zawodzi na logice tradingu. Zawodzą na zegarze, który jest przesunięty o 40 sekund, polu wyboru uprawnień, którego nigdy nie zaznaczyli, lub uścisku dłoni WebSocket, w którym brakuje jednego nagłówka. Mechanika wywoływania API giełdy kryptowalut jest wystarczająco prosta, by wyjaśnić ją na jednej stronie — to bariery ochronne wokół wywołania decydują o tym, czy zwróci ono dane, czy kod błędu.

Ten przewodnik omawia, czym jest API giełdy, jak faktycznie składa się żądanie, które uprawnienia włączyć i gdzie klucze API realnie wyciekają. Wszystkie dane specyficzne dla platformy poniżej pochodzą z dokumentacji API spot i futures WEEX, ostatnio zaktualizowanej 14.04.2026 r., i odzwierciedlają stan na sierpień 2026 r. Limity stawek i modele uprawnień różnią się między giełdami i zmieniają się w czasie — sprawdź dokumentację na żywo, zanim zaczniesz budować cokolwiek w oparciu o te liczby.

Co tak naprawdę pozwala robić API giełdy kryptowalut

API giełdy to zestaw punktów końcowych, które pozwalają oprogramowaniu robić to, co inaczej robiłbyś klikając: pobierać ceny, sprawdzać saldo, składać i anulować zlecenia oraz przesyłać dane rynkowe na żywo. Zastępuje przeglądarkę, a nie giełdę.

Podział, który ma największe znaczenie przy pierwszym wywołaniu, to publiczne kontra prywatne. Publiczne punkty końcowe udostępniają dane rynkowe każdemu. Prywatne punkty końcowe dotykają Twojego konta i wymagają podpisanego, uwierzytelnionego żądania.

Dwie rzeczy, których API giełdy zazwyczaj nie robi: nie daje Ci strategii, a na WEEX nie daje przełącznika wypłat — udokumentowane typy uprawnień kluczy API obejmują tylko odczyt i handel. To rozróżnienie ma większe znaczenie, niż się wydaje, i wraca w dalszej części.

Jeszcze jeden limit, o którym warto wiedzieć przed zaplanowaniem stosu: WEEX obecnie nie obsługuje handlu przez webhook TradingView ani protokołu FIX. Jeśli Twój zamierzony przepływ pracy zależy od któregokolwiek z nich, decyzja zapada teraz, a nie po napisaniu integracji.

Jak wywołać API giełdy w czterech krokach

Prywatne wywołanie API to zwykłe żądanie HTTPS niosące cztery dowody. Zrób wszystkie cztery dobrze, a wywołanie zadziała; zrób jeden źle, a otrzymasz konkretny kod błędu mówiący, który.

Krok 1 — Utwórz i przechowuj dane uwierzytelniające. Na WEEX klucze tworzy się z poziomu Konto → Zarządzanie API. Każde konto może posiadać do 10 grup kluczy API. Tworzenie zwraca trzy wartości: APIKey (identyfikator publiczny), SecretKey (używany do podpisywania) oraz Passphrase, którą definiujesz samodzielnie. Passphrase nie może zostać odzyskana ani zmodyfikowana — jeśli ją zgubisz, jedyną opcją jest usunięcie klucza i utworzenie nowego. Utrzymuj ją w formacie alfanumerycznym; dokumentacja WEEX wyraźnie odradza znaki specjalne.

Krok 2 — Zbuduj ciąg znaków do podpisu. WEEX łączy w kolejności: znacznik czasu w milisekundach, metodę HTTP wielkimi literami, ścieżkę żądania, następnie ciąg zapytania poprzedzony znakiem zapytania, jeśli istnieje, a następnie treść żądania, jeśli istnieje. Dla żądania głębokości daje to coś w rodzaju 1591089508404GET/api/v3/market/depth?symbol=BTCUSDT&limit=20. Kolejność nie podlega negocjacjom, podobnie jak wielkość liter — symbole muszą być wielkimi literami, a małe btcusdt zwróci błąd nieprawidłowego symbolu zamiast pomocnej wskazówki.

Krok 3 — Podpisz to. Zahashuj ciąg za pomocą HMAC SHA256 przy użyciu swojego SecretKey, a następnie zakoduj wynik w Base64. Ta wartość trafia do nagłówka ACCESS-SIGN obok ACCESS-TIMESTAMP. Pełna specyfikacja podpisu znajduje się w dokumentacji WEEX i warto ją przeczytać linijka po linijce — konstrukcja podpisu to miejsce, w którym psuje się większość pierwszych integracji.

Krok 4 — Wyślij, a jeśli nie zadziała, poczekaj 15 minut. To krok, o którym nikt Cię nie ostrzeże. Nowo utworzony lub zmodyfikowany klucz API potrzebuje około 15 minut na propagację w systemach WEEX. Deweloperzy rutynowo marnują popołudnie na debugowanie podpisu, który był poprawny od początku, na kluczu, który po prostu jeszcze nie zaczął działać.

Uwaga na zegar, ponieważ jest to najczęstsza przyczyna awarii: żądania są odrzucane, jeśli znacznik czasu odbiega o więcej niż 30 sekund od czasu serwera. Jeśli Twoja maszyna dryfuje — tanie instancje VPS dryfują ciągle — odpytuj punkt końcowy czasu serwera i synchronizuj się z nim, zamiast ufać lokalnemu zegarowi.

Uprawnienia klucza API: co włączyć, a co zostawić

Nadrzędną zasadą jest najmniejszy przywilej. Narzędzie, które tylko odczytuje salda, nigdy nie powinno posiadać praw do handlu. WEEX egzekwuje to, czyniąc uprawnienia niezależnymi, a nie skumulowanymi, oraz domyślnie ustawiając nowe klucze na tryb tylko do odczytu.

Tylko odczyt to ustawienie, na którym większość użytkowników powinna poprzestać. Jeśli zasilasz tracker portfela, narzędzie podatkowe lub pulpit monitorujący, klucz tylko do odczytu załatwia sprawę bez ścieżki od wyciekłych danych uwierzytelniających do utraconej pozycji.

Jeśli potrzebujesz handlu, włącz dokładnie jeden rynek. Bot spot z dołączonym uprawnieniem Futures niesie ryzyko, którego nigdy nie wykorzysta. Gdy zlecenie zwraca błąd -1052 (niewystarczające uprawnienia), przyczyną prawie zawsze jest to pole wyboru — klucz został utworzony przed wybraniem uprawnienia do handlu lub uprawnienie zostało przyznane dla niewłaściwego rynku.

Podczas tworzenia klucza powiąż białą listę IP. WEEX oznacza nieograniczone klucze jako ryzyko bezpieczeństwa w swojej dokumentacji, a egzekwowanie tego jest realne: żądanie z adresu spoza białej listy zwraca -1056 (nieprawidłowe IP) niezależnie od tego, czy podpis jest idealny. O to właśnie chodzi. Klucz z białej listy, który wycieknie, to klucz, którego atakujący nie może użyć ze swojej własnej infrastruktury.

Czy handel przez API giełdy jest bezpieczny? Gdzie klucze faktycznie wyciekają

Handel przez API jest bezpieczny w tym sensie, że projekt uwierzytelniania jest solidny — podpisywanie HMAC z kroczącym znacznikiem czasu zapobiega atakom typu replay, a zakres uprawnień ogranicza zasięg rażenia. Jest niebezpieczny w tym sensie, że prawie każda realna strata wynika z tego, jak klucz był obsługiwany, a nie z protokołu.

Ścieżki wycieku, które pojawiają się wielokrotnie:

• Klucze zatwierdzone w publicznym repozytorium. Dane uwierzytelniające zakodowane na sztywno w pliku konfiguracyjnym wypchniętym na GitHub są w ciągu kilku minut skanowane przez automatyczne boty.
• Klucze wklejone do bota zewnętrznego lub serwisu "sygnałów". Przekazanie klucza z uprawnieniami do handlu niesprawdzonej platformie jest funkcjonalnie przekazaniem swoich pozycji.
• Klucze udostępnione na czatach wsparcia. Żaden legalny agent wsparcia giełdy nie prosi o SecretKey lub Passphrase. WEEX wyraźnie o tym informuje w notatkach dla deweloperów.
• Jeden klucz do wszystkiego, na zawsze. Jeden nieobracany klucz dla środowisk dev, staging i produkcyjnego oznacza, że wyciek w jednym miejscu to wyciek wszędzie.

To, co robią doświadczeni operatorzy, jest bardziej nudne, niż się wydaje: oddzielne klucze dla każdego środowiska, tylko odczyt wszędzie tam, gdzie handel nie jest ściśle wymagany, białe listy IP dla każdego klucza handlowego, dane uwierzytelniające w zmiennych środowiskowych zamiast w kodzie oraz okresowa rotacja. WEEX wymaga również powiązania telefonu lub Google Authenticator przed przyznaniem dostępu API — błąd -1055 to platforma informująca, że konto nie jest jeszcze wystarczająco zabezpieczone.

Jedno ryzyko operacyjne, które jest niedoceniane: Twój własny bot. Pętla bez obsługi błędów, która wysyła zlecenia anuluj-i-zastąp z pełną prędkością, osiągnie limity stawek, zostanie zdławiona w trakcie strategii i zostawi Cię z pozycją, o której kod myśli, że ją zamknął. Wskazówki deweloperskie WEEX wyraźnie mówią, że handel przez API niesie wysokie ryzyko i że obsługa błędów musi być w kodzie od pierwszego dnia, a nie po pierwszym incydencie.

Limity stawek i błędy, które zabijają pierwsze wywołanie

Limity stawek to miejsce, w którym "działało w testach" zmienia się w "przestało działać na produkcji". WEEX stosuje dwa oddzielne liczniki: wagę opartą na IP dla większości punktów końcowych oraz liczbę zleceń dla składania zleceń. Składanie zleceń nie zużywa wagi IP, więc oba budżety są wydawane niezależnie.

Źródło: FAQ API spot i futures WEEX, ostatnio zaktualizowane 14.04.2026 r.

Przekrocz limit, a otrzymasz HTTP 429 oraz 10-sekundowy ban. Nie musisz zgadywać, jak blisko jesteś — każda odpowiedź niesie nagłówki raportujące zużycie: X-USED-WEIGHT i X-REMAINING-WEIGHT dla wagi IP, X-ORDER-COUNT i X-ORDER-REMAINING dla liczby zleceń. Czytanie tych nagłówków i wycofywanie się przed uderzeniem w ścianę to różnica między odporną integracją a taką, która jest banowana w każdej godzinie szczytu.

Gdy wywołanie kończy się niepowodzeniem, kod błędu precyzyjnie wskazuje przyczynę. Oto te, które odpowiadają za większość awarii przy pierwszej integracji:

Ta ostatnia linijka marnuje najwięcej godzin. Firewall WEEX odrzuca uściski dłoni WebSocket, które przychodzą bez nagłówka User-Agent — treść może być dowolna, ale pole musi być obecne. Nic w ogólnym samouczku WebSocket Ci o tym nie powie, a 403 nie daje żadnej wskazówki. Pełna referencja kodów błędów obejmuje resztę.

Uwaga dotycząca wersji: WEEX zaleca budowanie w oparciu o punkty końcowe V3. V1 i V2 są wycofywane, więc integracja napisana w oparciu o starszą dokumentację dziedziczy migrację, której nie potrzebuje.

Testuj przed handlem: punkty końcowe handlu papierowego

Właściwa kolejność to czytanie, symulacja, a potem mały handel. Przejście do zleceń na żywo z prawdziwym saldem to sposób, w jaki źle postawiony przecinek staje się zleceniem rynkowym.

WEEX dodał dedykowane punkty końcowe handlu papierowego po stronie futures, uruchamiając pełny cykl życia zlecenia przeciwko symulowanym funduszom denominowanym w SUSDT. Możesz odpytywać symulowane saldo, przeglądać pozycje długie i krótkie w trybie hedgingu, składać zlecenia i pobierać symulowaną historię — ta sama struktura żądań i zasady podpisywania co w handlu na żywo, bez ryzyka utraty prawdziwych aktywów.

Wcześniej istnieje darmowy test poprawności, który nic nie kosztuje: wywołaj publiczny punkt końcowy. Pobierz czas serwera lub dane ticker bez żadnego uwierzytelnienia. Jeśli zwróci to czysty JSON, Twoja ścieżka sieciowa i konstrukcja żądania są w porządku, a każda kolejna awaria jest odizolowana do uwierzytelniania.

Co warto zapamiętać

Nauka wywoływania API giełdy kryptowalut to w dużej mierze nauka jej trybów awarii. Samo żądanie składa się z czterech elementów — klucza, podpisu, znacznika czasu, ścieżki — a podpis to pojedynczy hash HMAC SHA256, który napiszesz raz i nigdy więcej o nim nie pomyślisz. To, co oddziela działającą integrację od zepsutej, to otaczająca dyscyplina: klucze ograniczone do odczytu, chyba że handel jest naprawdę wymagany, biała lista IP dla wszystkiego, co może składać zlecenia, zegar zsynchronizowany z czasem serwera i logika wycofywania, która czyta nagłówki pozostałej wagi zamiast walić w API, aż zostanie zbanowana.

Jeśli zaczynasz od zera, kolejność jest następująca: utwórz klucz tylko do odczytu, wywołaj publiczny punkt końcowy, wywołaj uwierzytelniony punkt końcowy odczytu, następnie symuluj, a potem handluj najmniejszym rozmiarem, na jaki pozwala Twoja strategia. Hub API WEEX obejmuje dostęp do spot i futures dla ponad 100 aktywów, a FAQ dla deweloperów odpowiada na pytania dotyczące uprawnień, limitów stawek i formatów symboli, które generują większość zgłoszeń do wsparcia.

FAQ

1. Czy muszę umieć kodować, aby używać API giełdy?

Dla bezpośrednich wywołań API tak — potrzebujesz wystarczających umiejętności programistycznych, aby konstruować podpisane żądania HTTP i obsługiwać błędy. Osoby niebędące deweloperami zazwyczaj uzyskują dostęp do API giełd pośrednio przez zewnętrzne trackery portfela, narzędzia podatkowe lub boty handlowe, gdzie tylko wklejasz klucz. W takim przypadku użyj klucza tylko do odczytu, chyba że narzędzie naprawdę potrzebuje handlować.

2. Czy ktoś może wypłacić moje środki, jeśli mój klucz API wycieknie?

Nie poprzez udokumentowane uprawnienia klucza API WEEX, które obejmują tylko odczyt i handel — wypłata nie znajduje się wśród wymienionych typów uprawnień API według dokumentacji z kwietnia 2026 r. Wyciekły klucz handlowy nadal może wyrządzić szkody, składając lub zamykając zlecenia na Twoim koncie, więc wyciek jest poważny niezależnie od tego. Natychmiast usuń skompromitowany klucz.

3. Dlaczego mój klucz API działa w testach, a zawodzi na produkcji?

Dwie najczęstsze przyczyny to biała lista IP i limity stawek. Klucz z białą listą dla Twojej maszyny deweloperskiej zwraca -1056 z serwera produkcyjnego, a wolumeny ruchu, które przechodzą w testach, mogą przekroczyć budżet 500 wagi/10s przy realnym obciążeniu.

4. Jak długo nowy klucz API potrzebuje, aby zacząć działać?

Około 15 minut na WEEX, aby nowo utworzony lub zmodyfikowany klucz rozprzestrzenił się w systemie. Jeśli uwierzytelnianie zawodzi natychmiast po utworzeniu, poczekaj, zanim zaczniesz przepisywać kod podpisu.

5. Jaka jest różnica między REST a WebSocket dla API giełd?

REST to żądanie-odpowiedź: prosisz o dane lub wysyłasz zlecenie i dostajesz jedną odpowiedź. WebSocket utrzymuje trwałe połączenie i przesyła aktualizacje na bieżąco, co jest tym, czego potrzebujesz dla cen na żywo, głębokości arkusza zleceń i powiadomień o wykonaniu. Większość integracji używa obu — REST do zleceń i zapytań o konto, WebSocket do strumieniowania danych. WEEX ogranicza połączenia WebSocket do 20 na IP.

6. Czy WEEX obsługuje alerty TradingView lub API FIX?

Obecnie żadne z nich nie jest obsługiwane. Strategie, które zależą od wykonania webhooka TradingView lub łączności FIX, potrzebują innej ścieżki wykonania.

Ostrzeżenie o ryzyku

Aktywa kryptowalutowe są zmienne, a handel oparty na API może zwiększyć zarówno szybkość, jak i wielkość strat, aż do całkowitej utraty środków na koncie handlowym. Zautomatyzowane strategie zawodzą w sposób, w jaki nie zawodzi handel ręczny: bot, który osiągnie limit stawek w trakcie wykonania, może zostawić otwartą pozycję, o której kod myśli, że jest zamknięta, rozłączenie WebSocket może stłumić powiadomienia o wykonaniu, podczas gdy zlecenia nadal są realizowane, a błąd logiczny może złożyć setki niezamierzonych zleceń, zanim to zauważysz. Dźwignia na futures potęguje każdy z tych problemów. Ryzyko powiernicze i danych uwierzytelniających jest równie realne — wyciekły SecretKey lub Passphrase mogą zostać użyte do handlu na Twoim koncie, a utracona Passphrase nie może zostać odzyskana. Używaj uprawnień tylko do odczytu wszędzie tam, gdzie handel nie jest wymagany, włącz białą listę IP, testuj przeciwko punktom końcowym handlu papierowego przed zaangażowaniem prawdziwych funduszy i nigdy nie ustalaj wielkości pierwszej wdrożonej strategii na kwotę, której nie możesz stracić. Nic powyżej nie jest poradą inwestycyjną.