Czym jest API giełdy kryptowalut i jakie uprawnienia włączyć

API giełdy kryptowalut to zestaw punktów końcowych, które giełda udostępnia oprogramowaniu. Robi jedną rzecz: zastępuje Twój palec linią kodu. Pobierz świecę, sprawdź saldo, złóż zlecenie z limitem ceny — działania, które w interfejsie internetowym zajmują cztery lub pięć kliknięć, stają się pojedynczym żądaniem HTTP.

Większość artykułów na tym kończy. Część, która faktycznie przyprawia ludzi o ból głowy, to kolejne pytanie, na które rzadko uzyskuje się prostą odpowiedź: co tak naprawdę może zrobić klucz, który właśnie wydałeś, a czego nie może? Jeśli źle ustawisz model uprawnień, przekazałeś zwykły tekst poświadczeń skryptowi strony trzeciej, którego kodu źródłowego nigdy nie czytałeś.

Ten artykuł omawia cztery kwestie: czym to jest, jak tego używać, jak to wywoływać i czy jest to bezpieczne. Konkretne parametry pochodzą z dokumentacji API spot WEEX, ostatnio zaktualizowanej 14 kwietnia 2026 r. Inne platformy mają podobną strukturę z innymi liczbami, więc sprawdź aktualną dokumentację swojej giełdy przed integracją.

Czym jest API giełdy kryptowalut? Publiczne i prywatne punkty końcowe

API giełdy kryptowalut nie jest jedną monolityczną rzeczą. Dzieli się na dwie warstwy, a ten podział decyduje o tym, czy w ogóle potrzebujesz klucza i jak duże ryzyko ponosisz.

Publiczne punkty końcowe obsługują dane rynkowe, które każdy może zobaczyć: ostatnią cenę transakcyjną, 24-godzinne maksimum i minimum, świece, głębokość arkusza zleceń, pełną listę obsługiwanych par. Brak uwierzytelniania — zwykły GET zwraca dane. Skrypt alertu cenowego lub zbiór danych do backtestingu nie potrzebuje niczego więcej i nigdy nie dotyka Twojego konta.

Prywatne punkty końcowe to te powiązane z Twoimi pieniędzmi: salda, składanie zleceń, anulowanie, historia realizacji, zapisy w księdze. Każde żądanie musi posiadać podpis, a serwer wykonuje je dopiero po jego walidacji.

Profile ryzyka nie są porównywalne. Najgorszym wynikiem w przypadku publicznego punktu końcowego jest ograniczenie częstotliwości zapytań (rate-limited). Najgorszym wynikiem w przypadku źle skonfigurowanego prywatnego punktu końcowego jest zmiana Twoich pozycji. Wielu nowicjuszy czyta "Chcę użyć API giełdy" jako "Potrzebuję uprawnień do handlu", podczas gdy duża część rzeczywistych przypadków użycia — pulpity nawigacyjne portfela, synchronizacja księgi, alerty cenowe — jest w pełni obsługiwana przez dostęp tylko do odczytu.

Klucz API, Klucz Tajny i Hasło: co robi każdy z nich

Utworzenie klucza daje Ci trzy ciągi znaków jednocześnie. Wykonują one różne zadania, a ludzie rutynowo przechowują je razem, wklejają niewłaściwy, a potem nie potrafią stwierdzić, które ogniwo w łańcuchu zawiodło.

Warto zwrócić uwagę na dwa szczegóły. WEEX wymaga, aby hasło było tylko alfanumeryczne — bez znaków specjalnych, co jest ograniczeniem, które nie jest wyświetlane w widocznym miejscu i jest częstym błędem przy pierwszej integracji. Ponadto zapomnianego hasła nie można odzyskać ani zmienić; udokumentowanym rozwiązaniem jest usunięcie klucza i utworzenie nowego.

Praktyczna rada: w momencie utworzenia klucza zapisz wszystkie trzy w menedżerze haseł lub pliku środowiskowym. Nie zakładaj, że będziesz mógł wrócić i skopiować je później.

Które uprawnienia API giełdy kryptowalut powinieneś włączyć?

To jest sekcja, którą warto zapamiętać.

W WEEX konto może utworzyć do 10 grup kluczy API, z których każda jest konfigurowana niezależnie. Dokumentacja (14 kwietnia 2026 r.) wymienia dokładnie dwa typy uprawnień:

Nowe klucze domyślnie mają uprawnienia tylko do odczytu. Handel musi być włączony celowo, a oba uprawnienia są niezależne — bez zaznaczenia Spot zlecenia nie przejdą.

Zwróć uwagę na to, czego brakuje w tej tabeli: nie ma uprawnienia do wypłat. To granica projektowa, a nie przeoczenie. Najbardziej destrukcyjna kategoria incydentów API — wycieki kluczy, środki wyprowadzone bezpośrednio — nie ma tutaj otwarcia na poziomie uprawnień. Skradziony klucz jest nadal niebezpieczny; atakujący może wyczyścić Twoje saldo poprzez wash-trading na mało płynnej parze lub wyczerpać je poprzez bezwartościowe wypełnienia. Ale najkrótsza ścieżka, czyli drenaż konta, jest zamknięta.

Dla jasności: giełdy różnią się pod tym względem. Niektóre platformy wydają klucze z prawami do wypłat. Zanim utworzysz klucz gdziekolwiek, spójrz na pola wyboru uprawnień i sprawdź, czy "Wypłata" jest jednym z nich. Jeśli tak, pozostaw je wyłączone, chyba że prowadzisz automatyzację międzygiełdową i dokładnie wiesz, co robisz.

Jeszcze jeden parametr, o którym prawie nikt nie wspomina, a który kosztuje pół godziny: nowo utworzony lub zmodyfikowany klucz API zazwyczaj potrzebuje około 15 minut na globalną propagację. Uruchomienie strategii natychmiast po utworzeniu klucza i otrzymanie błędu uprawnień nie oznacza, że Twój kod jest błędny. Może to po prostu oznaczać, że klucz jeszcze nie działa.

Wskazówki dotyczące bezpieczeństwa są równie bezpośrednie: włącz białą listę IP. Po powiązaniu, nawet pełny wyciek wszystkich trzech poświadczeń kończy się niepowodzeniem z dowolnego innego adresu — żądanie jest odrzucane natychmiast. Dla strategii działającej na stałym serwerze jest to najtańsza dostępna ochrona. Możesz zacząć od strony API WEEX.

Jak wywoływać API giełdy kryptowalut: podpisywanie i limity częstotliwości

Gdy uprawnienia stają się zrozumiałe, reszta to inżynieria. Kompletne prywatne żądanie wygląda mniej więcej tak.

Krok pierwszy, zbuduj ciąg podpisu. WEEX łączy timestamp + metoda wielkimi literami + requestPath + "?" + queryString + body, uruchamia HMAC SHA256 z Twoim kluczem tajnym, a następnie koduje wynik w Base64. Dla zapytania o głębokość, ciąg do podpisania wygląda następująco:

1591089508404GET/api/v3/market/depth?symbol=BTCUSDT&limit=20

Gdy ciąg zapytania jest pusty — większość żądań POST — format zwija się do timestamp + METODA + requestPath + body.

Krok drugi, ustaw nagłówki. Klucz API, podpis, timestamp i hasło trafiają do odpowiednich nagłówków ACCESS. Timestamp jest w milisekundach, a żądania są odrzucane, jeśli różnią się o więcej niż 30 sekund od czasu serwera. Ta jedna liczba wyjaśnia, dlaczego pierwszym punktem końcowym w dokumentacji każdej giełdy jest "pobierz czas serwera".

Krok trzeci, przestrzegaj wielkości liter i limitów częstotliwości. Parametr symbolu jest wrażliwy na wielkość liter i musi być w pełni wielkimi literami — btcusdt kończy się niepowodzeniem. Jeśli chodzi o przepustowość:

Przekroczenie któregokolwiek z nich zwraca HTTP 429. Limity są obliczane niezależnie dla każdego punktu końcowego, więc pojedynczy globalny licznik jest złym sposobem na ograniczanie przepustowości.

Jeszcze dwie pułapki: REST pasuje do zapytań na żądanie, ale WebSocket jest właściwą odpowiedzią dla danych rynkowych na żywo; a handshake WebSocket musi zawierać nagłówek User-Agent (treść zależy od Ciebie), w przeciwnym razie firewall zablokuje go z błędem 403 — błędem, który w ogóle nie przypomina brakującego nagłówka. Pełne przykłady znajdują się w oficjalnej dokumentacji podpisu.

Triage kodów błędów: co każdy z nich faktycznie oznacza

Większość czasu na rozwój API nie jest spędzana na pisaniu logiki, lecz na czytaniu błędów. Ta tabela mapuje błąd na rzeczywistą przyczynę i działanie, które go naprawia.

Uwaga: V1/V2 i V3 używają różnych schematów kodów błędów (4xxxx kontra -10xx), więc potwierdź, którą wersję wywołujesz przed debugowaniem. WEEX stwierdził, że V1/V2 są wycofywane — nowe integracje powinny celować w V3. Warto również wiedzieć z góry: handel sygnałami TradingView i API FIX nie są obecnie obsługiwane, więc każdy projekt zależny od jednego lub drugiego wymaga innej ścieżki.

Czy API giełdy kryptowalut jest bezpieczne? Pięć miejsc, w których wszystko się psuje

"Czy API giełdy jest bezpieczne" to zbyt ogólne pytanie. Sam protokół — podpisywanie HMAC, walidacja timestampu, sprawdzanie IP — jest dojrzały. Prawie każda awaria to błąd użytkowania. Ranking według częstotliwości występowania:

1. Przekazywanie poświadczeń komuś, kto nie powinien ich mieć. Główną przyczyną nigdy nie był exploit techniczny; to inżynieria społeczna. Fałszywe usługi "zarządzanego kwantu" i "akceleratora copy-tradingu" proszą o wklejenie klucza API, a saldo jest wyczyszczone przez wash-trading. Test jest prosty: każda strona trzecia, która prosi o Twój klucz tajny, powinna być domyślnie traktowana jako wroga. Legalne usługi każą powiązać klucz na ich platformie; nie proszą o wklejenie go w oknie czatu.

2. Pomijanie białej listy IP. Jak wyżej, to jedyny krok, który obniża rangę wycieku z katastrofy do uciążliwości. Zazwyczaj powodem pominięcia jest "moje IP jest dynamiczne", a ceną jest cały obwód bezpieczeństwa.

3. Kodowanie kluczy na sztywno i wypychanie na GitHub. Boty skanujące publiczne repozytoria w poszukiwaniu poświadczeń działają przez całą dobę; okno między commitem a eksploatacją często mierzy się w minutach. Używaj zmiennych środowiskowych i umieść plik konfiguracyjny w .gitignore.

4. Przyznawanie znacznie większych uprawnień niż wymaga tego zadanie. Pulpit nawigacyjny portfela z włączonym uprawnieniem Spot ponosi ryzyko dla możliwości, których nigdy nie wywołuje. Jeden cel, jeden klucz, minimalne uprawnienia — 10 grup kluczy to wystarczający zapas, aby prawidłowo segmentować.

5. Pisanie optymistycznej obsługi błędów. To nie wiąże się z wyciekiem, ale kosztuje prawdziwe pieniądze. Strategie, które nie ponawiają prób po błędzie 429, które kontynuują składanie zleceń po rozłączeniu bez uzgodnienia pozycji, które traktują nieudane anulowanie jako udane — te wady ujawniają się razem podczas gwałtownych ruchów, czyli dokładnie wtedy, gdy najmniej chcesz, aby program improwizował. Oficjalna dokumentacja zawiera notatkę dla programistów: "upewnij się, że Twój kod zawiera solidną logikę obsługi błędów".

Bardziej użyteczne sformułowanie jest takie: struktura ryzyka API giełdy kryptowalut w niczym nie przypomina trzymania spot. Straty spot pochodzą z rynku. Straty API zazwyczaj pochodzą od Ciebie — jedna niesprawdzona wartość zwrotna, jedna nieograniczona pętla, a pozycja może zostać zniszczona, gdy śpisz. Dlatego doświadczeni operatorzy najpierw uruchamiają klucz tylko do odczytu na tydzień, potwierdzają przepływ danych, ścieżki błędów i alerty, a dopiero potem włączają handel.

Trzy rzeczy do zapamiętania przed pierwszym kluczem

Powrót do pierwotnego pytania. API giełdy kryptowalut to interfejs, który giełda otwiera dla oprogramowania, zmieniając ręczne kliknięcia w wykonany kod, dzięki czemu dane rynkowe i handel mogą być zautomatyzowane.

To, co faktycznie decyduje o tym, czy wszystko pójdzie gładko, sprowadza się do trzech rzeczy:

1. Minimalne uprawnienia. Jeśli "tylko do odczytu" rozwiązuje problem, nie włączaj handlu. Jeden cel, jeden klucz.
2. Biała lista IP to krok o najwyższym zwrocie, jaki możesz podjąć. Gdy poświadczenia wyciekną, jest to jedyna obrona, która pozostaje.
3. Najpierw uruchom w trybie tylko do odczytu, potem handluj. Zweryfikuj dane, błędy i alerty przed przyznaniem uprawnień — to znacznie tańsze niż sekcja zwłok.

Jeśli chcesz zacząć, przewodnik przygotowania API WEEX obejmuje tworzenie kluczy i konfigurację uprawnień od początku do końca, a strona FAQ API zbiera zasady limitów częstotliwości i błędy, na które ludzie trafiają najczęściej. Najpierw utwórz klucz tylko do odczytu i uruchom punkty końcowe danych rynkowych przez cały swój potok przed czymkolwiek innym. Warto również zapoznać się z przewodnikiem po API WEEX, który szczegółowo omawia konfigurację i bezpieczeństwo.

FAQ

1. Czym jest API giełdy kryptowalut w jednym zdaniu?

To interfejs, który giełda udostępnia oprogramowaniu, pozwalając kodowi pobierać dane rynkowe, sprawdzać salda oraz składać lub anulować zlecenia — techniczny fundament handlu ilościowego, botów copy-tradingu i zautomatyzowanego monitorowania.

2. Czy muszę umieć programować, aby używać API giełdy?

Bezpośrednie wywoływanie punktów końcowych wymaga podstawowych umiejętności programowania, najczęściej w Pythonie. Wiele narzędzi stron trzecich opakowuje tę logikę, więc wystarczy powiązać klucz API na ich platformie — pod warunkiem, że narzędzie jest godne zaufania i nigdy nie prosi o wklejenie klucza tajnego w oknie czatu.

3. Jeśli mój klucz API wycieknie, czy ktoś może wypłacić moje monety?

To zależy od tego, czy platforma oferuje uprawnienie do wypłat. Dokumentacja API spot WEEX (14 kwietnia 2026 r.) wymienia tylko "Tylko do odczytu" i "Spot", bez opcji wypłaty, więc wyciek nie może bezpośrednio przenieść aktywów z giełdy — choć atakujący nadal mógłby spowodować straty poprzez złośliwe zlecenia. Inne giełdy projektują uprawnienia inaczej, więc sprawdź swoje. Natychmiast usuń każdy klucz, który uważasz za skompromitowany.

4. Co jeśli zapomnę hasła?

Nie można go odzyskać ani zmodyfikować. Jedynym rozwiązaniem jest usunięcie klucza API i utworzenie nowego. WEEX wymaga również, aby hasło było alfanumeryczne, bez znaków specjalnych.

5. Mój nowy klucz API zwraca błąd uprawnień — czy skonfigurowałem go źle?

Niekoniecznie. Nowo utworzone lub zmodyfikowane klucze zazwyczaj potrzebują około 15 minut na globalną propagację, więc spróbuj ponownie po odczekaniu. Jeśli problem nadal występuje, sprawdź, czy uprawnienie do handlu jest włączone i czy para obsługuje zlecenia API.

6. Czy powinienem używać REST czy WebSocket?

REST do zapytań na żądanie — salda, składanie i anulowanie zleceń. WebSocket do danych na żywo — wypełnienia na poziomie ticka i aktualizacje głębokości. Strategie produkcyjne zazwyczaj uruchamiają oba: WebSocket w wejściu, REST w wyjściu.

7. Czy mogę prowadzić arbitraż lub strategie wysokiej częstotliwości przez API giełdy?

Technicznie tak, ale limity częstotliwości ograniczają. Na WEEX spot oznacza to 100 zleceń na 10 sekund i 500 wagi IP na 10 sekund, przy czym każdy punkt końcowy jest liczony niezależnie. Prawdziwa praca o wysokiej częstotliwości musi również uwzględniać opóźnienia, slippage i strukturę opłat, które regularnie pochłaniają spread, który na papierze wyglądał na dostępny.

Ostrzeżenie o ryzyku

Ceny aktywów kryptowalutowych są wysoce zmienne i mogą prowadzić do częściowej lub całkowitej utraty kapitału. Handel programowy przez API giełdy kryptowalut nakłada dodatkowe ryzyko na ryzyko rynkowe: wadliwa strategia może zwiększać straty bez nadzoru; przerwy w sieci, odrzucenia limitów częstotliwości lub nieoczekiwane odpowiedzi mogą pozostawić stan zlecenia niezsynchronizowany z rzeczywistymi pozycjami; a poświadczenia API wyciekłe przez phishing, ujawniony kod lub niezaufane strony trzecie mogą umożliwić straty poprzez złośliwe zlecenia, nawet tam, gdzie wypłata nie jest dozwolona. Handel kontraktami terminowymi i z dźwignią dodaje ryzyko likwidacji, gdzie krótkotrwały ruch cen może wyczyścić pełną pozycję. Testuj strategie dokładnie, włącz białą listę IP i minimalne uprawnienia, i angażuj tylko kapitał, który możesz stracić. Ten artykuł ma charakter informacyjny i nie stanowi porady inwestycyjnej.