Guide de l'API WEEX : Configuration, appels, permissions et sécurité

Si vous souhaitez que du code récupère des prix, passe des ordres et gère votre compte pour vous, la première chose à bien faire est de comprendre comment l'API WEEX est ouverte, appelée et, surtout, comment ses permissions sont définies. L'API WEEX est un ensemble d'interfaces de programmation que WEEX ouvre aux développeurs et aux traders quantitatifs, exposant à la fois l'accès REST et WebSocket afin que vous puissiez extraire des données de marché, passer et annuler des ordres, et interroger des comptes sans regarder un écran. Ce guide suit un fil conducteur — ce que c'est, comment l'utiliser, comment l'appeler et si c'est sûr — et consacre son importance à la partie que la plupart des tutoriels survolent : les permissions et la sécurité de l'API, ce qui est exactement là où les fonds ont tendance à être compromis.

Tous les paramètres d'interface ci-dessous proviennent de la documentation officielle de l'API WEEX et reflètent les informations publiques au mois de juillet 2026. Les règles de l'API peuvent changer, alors vérifiez auprès du centre des développeurs en direct avant de procéder à l'intégration.

Qu'est-ce que l'API WEEX : Une carte rapide des capacités

En une ligne : l'API WEEX est le canal qui permet au code d'exploiter votre compte, divisé en "public" et "privé". Les points de terminaison publics renvoient des données de marché et la configuration du système et ne nécessitent aucune authentification ; les points de terminaison privés gèrent le placement des ordres, l'annulation et la gestion du compte, et chaque demande doit être signée. Côté produit, elle couvre à la fois le spot et les contrats à terme sur marge USDT sur plus de 100 actifs.

Choisir entre REST et WebSocket revient à savoir si vous voulez "demander une fois" ou "continuer à écouter". Vérifiez un solde ou passez un seul ordre via REST ; pour recevoir des ticks de prix en direct, des changements de profondeur ou des exécutions d'ordres, maintenez une connexion WebSocket — c'est à la fois plus simple et plus opportun.

Comment obtenir votre clé API WEEX

Connectez-vous à la plateforme web WEEX et créez une clé depuis la page de gestion de l'API. Le système génère trois choses à la fois, et vous avez besoin des trois :

• APIKey — un identifiant généré algorithmiquement, essentiellement votre "nom d'utilisateur".
• SecretKey — la clé privée émise par le système utilisée pour signer chaque demande.
• Passphrase — une phrase d'accès que vous définissez vous-même. Notez ceci attentivement : si la Passphrase est perdue, elle ne peut pas être récupérée — vous devez supprimer le groupe de clés et en créer un nouveau.

Chaque compte peut créer jusqu'à 10 groupes de clés API, ce qui vous permet d'émettre des clés distinctes par stratégie et par environnement. Deux choix lors de la création définissent le niveau de sécurité d'une clé : les permissions que vous cochez (section suivante) et l'IP que vous liez. WEEX signale explicitement qu'une clé "non restreinte" sans liaison IP est un risque de sécurité — si l'IP de votre serveur est fixe, remplissez la liste blanche IP.

Permissions de l'API WEEX : Où le mode lecture seule et le trading s'arrêtent

C'est la section à lire deux fois. Une clé API nouvellement créée est par défaut en "Lecture seule". Pour trader via l'API, vous devez activer manuellement la permission de trading "Spot" correspondante. Trop de permissions signifient une perte plus importante si la clé fuit ; trop peu et la stratégie ne peut pas fonctionner. La règle est simple : accordez le minimum dont la stratégie a réellement besoin.

Un détail facile à manquer mais important pour la sécurité : en juillet 2026, les permissions listées dans les documents de démarrage rapide de l'API spot WEEX sont exactement ces deux-là — Lecture seule et Trading Spot — sans bascule de "retrait" séparée. Pour la plupart des stratégies, c'est une fonctionnalité, pas une lacune : même si une clé fuit, celui qui la détient ne peut pas retirer les actifs directement. Traitez les options affichées sur votre page de création de clé réelle comme la source de vérité.

Comment l'appeler : Ce dont une demande signée a besoin

Toute la barrière des points de terminaison privés est l'étape de "signature". WEEX génère des signatures avec HMAC SHA256 : cryptez la chaîne pré-signature avec votre SecretKey, puis encodez le résultat en Base64. La chaîne pré-signature est assemblée dans un ordre fixe :

timestamp + method (majuscules) + requestPath + "?" + queryString + body

La queryString est omise lorsqu'elle est vide. Prenez une demande de profondeur GET comme exemple : /api/v3/market/depth?symbol=BTCUSDT&limit=20 avec le timestamp 1591089508404 produit la chaîne pré-signature 1591089508404GET/api/v3/market/depth?symbol=BTCUSDT&limit=20.

Une fois signée, chaque demande privée comporte quatre en-têtes :

Les canaux WebSocket privés fonctionnent de la même manière — signez le timestamp plus le chemin de demande /v3/ws/private pour vous connecter. Le point où la plupart des débutants restent bloqués n'est pas la crypto, c'est le timestamp : si le timestamp de votre demande s'écarte de l'heure du serveur de plus de 30 secondes, la demande est rejetée purement et simplement. Une mauvaise horloge locale ou un timestamp mis en cache obsolète provoquera une erreur 401 inexplicable. Synchroniser l'heure NTP avant de passer en direct économise la moitié du débogage. Les champs complets et les exemples se trouvent dans le document officiel de préparation à l'intégration et la référence de signature.

Limites de taux et règles d'accès à connaître

Vous ne pouvez pas appeler aussi vite que vous le souhaitez. Le plafond par défaut est de 10 demandes/seconde, certains points de terminaison indiquant leurs propres limites dans leurs documents ; le dépassement renvoie 429 Trop de demandes. Attention à la base de comptage : les demandes authentifiées sont mesurées par clé API, les non authentifiées par IP publique — ce qui signifie que plusieurs scripts en lecture seule sur un serveur partageant une IP sortante peuvent s'évincer mutuellement du quota de points de terminaison publics.

Une règle de traitement par lots mérite d'être rappelée : un ordre par lots couvrant 4 paires de trading avec 10 ordres chacune compte comme une seule demande. Le regroupement des ordres permet à une stratégie haute fréquence d'augmenter le débit et de conserver le quota en même temps.

L'API WEEX est-elle sûre ? Séparez le contrôlable du non-contrôlable

"Est-ce sûr" mérite mieux qu'un oui/non. Côté plateforme, vous bénéficiez d'une authentification signée, d'une liaison IP, de permissions hiérarchisées et d'une protection contre la relecture basée sur le timestamp. Mais dans les scénarios d'API, la plupart des incidents se produisent du côté de l'utilisateur — clés stockées négligemment, permissions trop larges, identifiants intégrés dans un front-end ou un dépôt public. La partie contrôlable est entièrement entre vos mains :

• Limitez les permissions au minimum ; une stratégie en lecture seule ne devrait jamais détenir de permission de trading.
• Liez une IP fixe à chaque clé — pas de clés non restreintes.
• Gardez la SecretKey et la Passphrase dans des variables d'environnement ou un gestionnaire de secrets, jamais codées en dur dans le code côté client ou commitées sur Git.
• Utilisez des clés différentes pour le développement et la production afin qu'elles ne puissent pas se contaminer mutuellement.
• Faites pivoter les clés selon un calendrier, et dès que vous voyez des appels anormaux, supprimez la clé dans la plateforme web — une clé peut être révoquée et reconstruite à tout moment, et c'est le moyen le plus rapide d'arrêter l'hémorragie.
• Mettez en place une surveillance et des alertes sur l'activité du compte et le volume d'appels afin que les fréquences ou les ordres inhabituels apparaissent immédiatement.

Pour une vue d'ensemble plus large des capacités et des questions courantes, consultez l'explication de WEEX sur si WEEX prend en charge le trading par API. Obtenez la liste de contrôle ci-dessus, et la sécurité de l'API WEEX dépend principalement de l'hygiène de vos clés plutôt que de quelque chose de mystérieux.

La version courte

Le chemin vers l'API WEEX est en fait propre : créez une clé API avec des permissions minimales sur la plateforme web (Lecture seule par défaut, trading activé manuellement), collectez le trio APIKey / SecretKey / Passphrase, et liez une IP ; lors de l'appel aux points de terminaison privés, signez avec HMAC SHA256 dans le format fixe, envoyez les quatre en-têtes, et respectez la fenêtre de timestamp de 30 secondes et le plafond de 10 demandes par seconde ; enfin, verrouillez l'hygiène des clés, les permissions de moindre privilège, la liste blanche IP et les alertes. Pour commencer, exécutez votre première demande sur les points de terminaison de marché publics dans le centre des développeurs WEEX, puis ajoutez le placement d'ordres privés.

FAQ

1. WEEX prend-il en charge le trading par API ?

Oui. WEEX propose des interfaces REST et WebSocket pour les données de marché automatisées, le placement et l'annulation d'ordres, et la gestion de compte, sur le spot et les contrats à terme sur marge USDT — adaptés aux bots quantitatifs, de grille et de tenue de marché.

2. Combien de clés API un compte peut-il créer ?

Jusqu'à 10 groupes. Il est préférable de les diviser par stratégie et par environnement — une clé de surveillance en lecture seule, une clé de trading spot, une clé de dev/test — afin qu'elles s'exécutent indépendamment et puissent être révoquées individuellement.

3. Que faire si j'oublie la Passphrase ?

Elle ne peut pas être récupérée. La Passphrase est une phrase que vous définissez lors de la création, et le système ne la stocke pas en texte clair. Si elle est perdue, supprimez ce groupe de clés API et créez-en un nouveau.

4. Pourquoi mes demandes privées continuent-elles d'être rejetées ?

La cause la plus fréquente est le timestamp. Si le timestamp de votre demande s'écarte de l'heure du serveur WEEX de plus de 30 secondes, il est rejeté — synchronisez d'abord votre horloge locale. Ensuite, vérifiez l'ordre de la chaîne pré-signature, que le nom de la méthode est en majuscules et que les quatre en-têtes sont présents.

5. Si ma clé API fuit, un attaquant peut-il retirer mes pièces ?

Pour l'API spot, le risque est relativement contenu — en juillet 2026, les permissions documentées ne sont que Lecture seule et Trading Spot, sans permission de retrait autonome. Même ainsi, supprimez immédiatement la clé divulguée dans la plateforme web et vérifiez s'il y a des ordres anormaux.

6. Y a-t-il des limites de taux sur les appels ?

Oui. Le plafond par défaut est de 10 demandes/seconde ; le dépassement renvoie 429. Les demandes authentifiées sont comptées par clé API et les non authentifiées par IP. Un ordre par lots (ex. 4 paires avec 10 ordres chacune) compte comme une seule demande, ce que les stratégies haute fréquence peuvent utiliser pour économiser le quota.

Avertissement sur les risques

Les actifs numériques sont très volatils, et le trading par programme via une API peut amplifier plutôt que réduire le risque, entraînant potentiellement une perte partielle ou totale du capital. Les risques spécifiques au trading par API incluent le vol ou les ordres non autorisés provenant d'une clé divulguée, les erreurs d'ordres en cascade dues à une erreur de logique de code, les échecs d'ordres dus à la latence du réseau ou à la dérive du timestamp, le dépassement des limites d'appels et la perte du marché, et le risque de liquidation sous effet de levier sur les contrats à terme. Limitez toujours les clés au moindre privilège, liez une IP, protégez votre SecretKey et votre Passphrase, et testez minutieusement dans un environnement de petite taille avant de passer en direct. Cet article est uniquement un guide d'intégration technique et ne constitue pas un conseil en investissement.