إعداد مفتاح API في WEEX: الصلاحيات وربط IP وحدود المفاتيح

يستغرق إنشاء مفتاح API في WEEX نحو دقيقتين، لكن القرارات التي تتخذها في تلك الشاشة تحدد ما يمكن لمفتاح مسروق أن يفعله بحسابك لاحقًا. يبدأ كل مفتاح جديد بوضع القراءة فقط. لا تضف نطاق تداول Spot أو Futures/Contract إلا إذا احتاج برنامج إلى تنفيذ أوامر، ويمكنك ربط المفتاح بعناوين IP محددة، كما يمكنك الاحتفاظ بحد أقصى 10 مجموعات من مفاتيح API لكل حساب. لا يوجد أي نطاق للسحب. يشرح هذا الدليل الإعداد، ويوضح وظيفة كل اعتماد من الاعتمادات الثلاثة، ويبين مجموعة الصلاحيات المناسبة لكل حالة استخدام، ويغطي التفاصيل التشغيلية الصغيرة التي تسبب المشكلات، مثل عبارة المرور غير القابلة للاستعادة والتأخير القصير قبل بدء عمل المفتاح الجديد.

ممّ يتكوّن مفتاح API في WEEX فعليًا

تصدر WEEX ثلاث سلاسل منفصلة عند إنشاء المفتاح، ولكل منها وظيفة مختلفة. والخلط بينها هو السبب الأكثر شيوعًا لفشل الطلب الأول بسبب خطأ في المصادقة.

• APIKey: المعرّف العام. يوضع في ترويسة ACCESS-KEY مع كل طلب. ولا يتعلم من يراه أي شيء مفيد بمفرده.
• SecretKey: مفتاح التوقيع الخاص. لا ينتقل أبدًا ضمن الطلب. يستخدمه برنامجك لحساب توقيع HMAC SHA256 على timestamp وطريقة HTTP ومسار الطلب وbody، ثم يرمّز النتيجة بترميز Base64 ويضعها في ترويسة ACCESS-SIGN.
• Passphrase: سلسلة تختارها عند إنشاء المفتاح. تُرسل في ترويسة ACCESS-PASSPHRASE عند استخدام نقاط النهاية الخاصة. توضح WEEX صراحة في وثائق API أن عبارة المرور المفقودة لا يمكن استعادتها؛ والحل الوحيد هو إنشاء مفتاح جديد.

النتيجة العملية: لا يظهر SecretKey وPassphrase إلا مرة واحدة. انسخهما إلى مدير الأسرار قبل إغلاق علامة التبويب. إذا فقدت أيًا منهما، احذف مجموعة المفتاح وابدأ من جديد بدلًا من محاولة التخمين.

كيفية إنشاء مفتاح API في WEEX خطوة بخطوة

الخطوات نفسها لاستخدامات spot وfutures، والاختلاف هو نطاق التداول الذي تحدده.

1. سجّل الدخول عبر الويب وافتح API Management من قائمة الحساب (مسار الصفحة هو /account/newapi). سيُطلب منك استخدام 2FA المعتاد.
2. سمِّ المفتاح باسم البرنامج الذي سيستخدمه، مثل grid-bot-vps-a أو portfolio-tracker. تصبح الأسماء مهمة عند إدارة عدة مفاتيح.
3. عيّن passphrase واحفظها فورًا.
4. اترك الصلاحية على Read Only ما لم يكن هذا البرنامج بالتحديد يحتاج إلى تنفيذ الأوامر أو إلغائها. إذا احتاج، فعّل نطاق تداول واحدًا فقط: Spot لأسواق spot، أو Futures/Contract للعقود الدائمة. لا تفعّل الاثنين «تحسبًا فقط».
5. اربط المفتاح بعنوان IP أو عناوين IP الخاصة بالجهاز الذي سيستدعي API. توضح وثائق WEEX ذلك مباشرة: المفتاح الذي لا يرتبط بـ IP «يشكل مخاطر أمنية».
6. أكمل 2FA للتأكيد. انسخ APIKey وSecretKey.
7. انتظر قبل الاختبار. تشير دليل API الخاص بـ WEEX في قسم Learn إلى أن انتشار المفتاح المنشأ أو المعدّل حديثًا عالميًا قد يستغرق نحو 15 دقيقة، لذلك لا يعني ظهور 401 فورًا بالضرورة وجود خطأ في كودك.

يتمثل الاختبار الأول المفيد في استدعاء عام غير مصادق عليه، ثم استدعاء موقّع للقراءة فقط مثل طلب رصيد الحساب. لا تحاول استخدام نقطة نهاية للتداول إلا بعد نجاح الاثنين.

ما صلاحيات WEEX API التي يجب تفعيلها لكل استخدام

نموذج الصلاحيات صغير عمدًا، ولذلك يسهل فهمه. فوق صلاحية القراءة الافتراضية توجد نطاقان مستقلان فقط، ولا شيء آخر.

يكفي Read Only لبرامج أكثر مما يعتقد الناس. فمتعقب المحفظة، وتصدير التقارير الضريبية، وتنبيه Telegram عند تنفيذ الأوامر، ولوحة المراكز المفتوحة، ومراقب معدل التمويل، لا يحتاج أي منها إلى تنفيذ أمر. أبقها للقراءة فقط. إذا تسرّب المفتاح، يستطيع المهاجم رؤية أرصدتك وسجلك، وهذا مزعج، لكنه لا يستطيع نقل أي شيء.

نطاق تداول Spot مخصص للبرامج التي تشتري وتبيع على أزواج spot، مثل نصوص DCA وروبوتات شبكة spot وبرامج إعادة التوازن. ولا يمنح الوصول إلى futures.

نطاق تداول Futures/Contract مخصص لأتمتة perpetual futures، مثل استراتيجيات تتبع الاتجاه وتحوط معدل التمويل ونصوص الحماية من التصفية التي تغلق المراكز. ولا يمنح الوصول إلى spot. وبما أن الرافعة تضاعف الضرر الذي قد يسببه برنامج سيئ التصرف، فهذا هو النطاق الذي يجب حمايته بأكبر قدر من العناية، وهو الأكثر استحقاقًا لربط IP.

الصلاحية غير المتاحة هي السحب. وبخلاف عدة منصات تعرض نطاق سحب يجب أن تتذكر تركه غير محدد، تسرد وثائق API الخاصة بـ WEEX لكل من spot وfutures نوعي صلاحيات Read وTrade فقط. ولا يزال نقل الأموال من المنصة يتطلب إجراءات الويب أو التطبيق مع 2FA وضوابط العناوين الخاصة بها. هذا الحد هو أهم ما يجب فهمه بشأن أمان مفتاح API في WEEX: لا يستطيع مفتاح تداول متسرب السحب. وما يستطيع فعله وكيف يستغله المهاجمون رغم ذلك سيكون موضوع المقال التالي في هذه السلسلة.

حد 10 مفاتيح وكيفية استخدامه

تسمح WEEX بما يصل إلى 10 مجموعات من مفاتيح API لكل حساب. ويبدو ذلك سخيًا إلى أن تبدأ في إدارة المفاتيح بشكل صحيح، أي مفتاح واحد لكل برنامج ولكل جهاز.

يبدو التوزيع المعقول للمستخدم النشط كالتالي: مفتاح قراءة فقط للمتعقب، وآخر لتصدير الضرائب، ومفتاح Spot واحد لروبوت DCA على خادم منزلي، ومفتاح Futures/Contract لاستراتيجية على VPS، ومفتاح Futures/Contract لاستراتيجية ثانية على VPS نفسه، ومفتاحان أو ثلاثة احتياطيًا للتدوير حتى تتمكن من إصدار بديل قبل إلغاء القديم. وهذا يستخدم بالفعل سبعة أو ثمانية أماكن.

تساعد عادتان على البقاء ضمن الحد. أولًا، احذف المفاتيح فور توقف البرنامج؛ فالمفتاح المنسي الذي يملك نطاق تداول ولا يرتبط بـ IP يمثل خطرًا صامتًا تقليديًا. ثانيًا، لا تشارك مفتاحًا واحدًا بين برنامجين لتوفير مكان. إذا أساء أحدهما التصرف أو تسرّب، فسيتعين عليك إلغاء المفتاح لكليهما، ولن تتمكن من معرفة أيهما نفذ صفقة معينة من سجل الأوامر.

التوقيع والطوابع الزمنية والأخطاء التي تبدو كمشكلات صلاحيات

تعود عدة حالات فشل يلقي المدمجون الجدد باللوم فيها على الصلاحيات في الواقع إلى التوقيع أو الساعة. إن معرفة القواعد توفر ساعات من العمل.

رسالة التوقيع هي دمج timestamp بالمللي ثانية، وطريقة HTTP بأحرف كبيرة، ومسار الطلب، وسلسلة الاستعلام إن وجدت (مع ? في بدايتها)، وJSON body إن وجد. يوقّع SecretKey هذه السلسلة باستخدام HMAC SHA256 ثم تُرمّز بترميز Base64. وتقدم وثائق spot لدى WEEX المثال 1591089508404GET/api/v3/market/depth?symbol=BTCUSDT&limit=20 لاستدعاء عمق السوق.

تخضع الطوابع الزمنية للفحص. ترفض WEEX أي طلب ينحرف فيه ACCESS-TIMESTAMP أكثر من 30 ثانية عن ساعة الخادم. وسيؤدي انحراف الوقت في VPS إلى أخطاء مصادقة متقطعة تبدو عشوائية. شغّل NTP، وإذا استمر الرفض فجلب وقت الخادم من نقطة النهاية العامة واضبط طلباتك وفقًا له.

تختلف حدود المعدل عن الصلاحيات، لكنها تسبب أعراضًا مربكة بالقدر نفسه. تُحد معظم نقاط REST حسب IP باستخدام نظام أوزان، بينما تُحد نقاط تنفيذ الأوامر حسب الحساب ضمن مجموعة ORDERS، ويؤدي تجاوز أي منهما إلى HTTP 429 يتبعه حظر لمدة 10 ثوانٍ. اقرأ ترويسات الاستجابة X-USED-WEIGHT وX-ORDER-COUNT بدل تخمين ميزانيتك. فالبرنامج الذي يواصل الضغط على API بعد 429 يطيل مدة حظره بنفسه.

ما يفوته المتداولون عادة في شاشة الإعداد

تُغفل ثلاثة أمور أكثر من أي شيء آخر.

عبارة المرور ليست كلمة مرور يمكن إعادة تعيينها. يتعامل معها الناس كحقل مريح، فيختارون شيئًا سريعًا ويفقدونه عند إعادة بناء الخادم. تتطلب WEEX أن تكون أبجدية رقمية، لذلك اختر سلسلة عشوائية طويلة واحفظها مع SecretKey.

يُتخطى ربط IP لأن IP المنزلي يتغير. الحل الصحيح ليس ترك المفتاح مفتوحًا؛ بل تشغيل البرنامج على VPS أو مثيل سحابي ذي عنوان ثابت وربطه بذلك العنوان. وإذا اضطررت إلى التشغيل من IP ديناميكي، فأبق المفتاح للقراءة فقط ونفّذ الأوامر يدويًا.

يُفعّل نطاق التداول على مفتاح مخصص للقراءة فقط. يحدث ذلك عادة لأن دليلًا لمنصة أخرى أخبر القارئ بتحديد كل شيء. في WEEX يوجد Read Only افتراضيًا لسبب: ابدأ به ولا تضف النطاق إلا عند فشل طلب بسبب نقص الصلاحية.

إعداد مفتاح API في WEEX بالطريقة الصحيحة، باختصار

يكون مفتاح API المهيأ جيدًا في WEEX للقراءة فقط ما لم يحتج برنامج بشكل مثبت إلى التداول، ويحمل نطاق تداول واحدًا بالضبط عند الحاجة، ويرتبط بـ IP ثابت للجهاز الذي يستخدمه، وتُحفظ عبارة المرور إلى جانب SecretKey، ويشغل مكانًا واحدًا من أماكنك العشرة لبرنامج واحد بالضبط. إذا طبقت هذه الأمور الخمسة من اليوم الأول، فستصبح معظم نصائح أمان API التي ستقرأها في أماكن أخرى غير ضرورية. أنشئ مفتاحك الأول للقراءة فقط، وتأكد من عمل استدعاء رصيد موقّع، ثم قرر فقط بعد ذلك ما إذا كان يحتاج إلى تنفيذ أوامر.

الأسئلة الشائعة

1. هل يسمح مفتاح API في WEEX بالسحب؟

لا. اعتبارًا من سبتمبر 2026، تسرد وثائق API للـ spot وfutures في WEEX صلاحيات Read Only وTrade (Spot أو Futures/Contract) فقط. وتتطلب عمليات السحب استخدام الويب أو التطبيق مع 2FA.

2. كم عدد مفاتيح API التي يمكنني إنشاؤها في WEEX؟

ما يصل إلى 10 مجموعات مفاتيح API لكل حساب. ولكل مجموعة صلاحياتها وعبارة مرورها وربط IP الاختياري الخاص بها.

3. هل يمكن لمفتاح API واحد في WEEX التداول في spot وfutures معًا؟

Spot وFutures/Contract نطاقان منفصلان للتداول. فعّل فقط النطاق الذي يحتاجه البرنامج؛ لا ينبغي لروبوت spot امتلاك صلاحية futures.

4. لماذا يعيد مفتاحي الجديد خطأ مصادقة؟

تشمل الأسباب الشائعة تأخر الانتشار حتى نحو 15 دقيقة بعد الإنشاء، أو انحراف timestamp أكثر من 30 ثانية عن وقت الخادم، أو خطأ عبارة المرور، أو الاستدعاء من IP غير موجود في قائمة ربط المفتاح.

5. ماذا يحدث إذا فقدت عبارة المرور؟

لا يمكن استعادتها. احذف مجموعة المفتاح وأنشئ مفتاحًا جديدًا، ثم حدّث كل برنامج استخدم المفتاح القديم.

6. هل ربط IP إلزامي؟

هو اختياري، لكن وثائق WEEX نفسها توصي به بشدة. وبالنسبة إلى أي مفتاح يملك نطاق تداول، تعامل معه باعتباره إلزاميًا.

تحذير المخاطر

ينطوي تداول spot وfutures للعملات الرقمية على مخاطر كبيرة للخسارة، بما في ذلك خسارة كامل رصيدك؛ وقد تتم تصفية مراكز futures ذات الرافعة بسرعة في الأسواق المتقلبة. يضيف الوصول إلى API مخاطر تشغيلية فوق مخاطر السوق: فقد يؤدي مفتاح مهيأ بشكل خاطئ، أو خطأ في برنامج، أو خادم مخترق، أو تسرب SecretKey إلى تنفيذ أوامر غير مقصودة لا يمكن عكسها. يجب ربط المفاتيح ذات نطاق التداول بـ IP ومراقبتها، كما يجب اختبار أي برنامج على حساب تجريبي قبل أن يتعامل مع أموال حقيقية. لا يشكل أي شيء في هذا المقال نصيحة استثمارية؛ والميزات الموضحة للمنصة دقيقة اعتبارًا من سبتمبر 2026 وقد تتغير.