Penyiapan API Key WEEX: Izin, Pengikatan IP, dan Batas Key

Membuat API key WEEX memerlukan waktu sekitar dua menit, dan keputusan yang Anda buat di layar tersebut menentukan apa yang dapat dilakukan key yang dicuri terhadap akun Anda nantinya. Setiap key baru dimulai sebagai Read Only. Anda hanya menambahkan cakupan trading Spot atau Futures/Contract jika sebuah program perlu menempatkan order, dapat mengikat key ke alamat IP tertentu, dan dapat memiliki paling banyak 10 grup API key per akun. Tidak ada cakupan penarikan sama sekali. Panduan ini membahas penyiapan, menjelaskan fungsi ketiga kredensial, menunjukkan kombinasi izin yang sesuai untuk setiap kasus penggunaan, serta membahas detail operasional kecil yang sering menimbulkan masalah, seperti passphrase yang tidak dapat dipulihkan dan jeda singkat sebelum key baru mulai berfungsi.

Sebenarnya apa saja yang terdapat dalam API key WEEX

WEEX menerbitkan tiga string terpisah saat Anda membuat key, dan masing-masing memiliki tugas berbeda. Kesalahan mencampurkan ketiganya adalah alasan paling umum mengapa permintaan pertama gagal dengan error autentikasi.

• APIKey: pengenal publik. Nilai ini dimasukkan ke header ACCESS-KEY pada setiap permintaan. Orang yang melihatnya tidak memperoleh informasi berguna hanya dari key tersebut.
• SecretKey: key pribadi untuk penandatanganan. Key ini tidak pernah dikirim dalam permintaan. Kode Anda menggunakannya untuk menghitung tanda tangan HMAC SHA256 atas timestamp, metode HTTP, jalur permintaan, dan body, lalu melakukan encoding Base64 pada hasilnya ke header ACCESS-SIGN.
• Passphrase: string yang Anda pilih saat membuat key. Passphrase dikirim dalam header ACCESS-PASSPHRASE pada endpoint privat. WEEX menyatakan dengan jelas dalam dokumentasi API bahwa passphrase yang hilang tidak dapat dipulihkan; satu-satunya solusi adalah membuat key baru.

Konsekuensi praktisnya: SecretKey dan Passphrase hanya ditampilkan sekali. Salin keduanya ke pengelola rahasia sebelum menutup tab. Jika salah satunya hilang, hapus grup key dan mulai lagi, bukan mencoba menebaknya.

Cara membuat API key WEEX langkah demi langkah

Alurnya sama untuk penggunaan spot dan futures. Perbedaannya adalah cakupan trading yang Anda centang.

1. Login melalui web dan buka API Management di menu akun Anda (jalur halamannya adalah /account/newapi). Anda akan diminta melakukan 2FA biasa.
2. Beri nama key berdasarkan program yang akan menggunakannya, misalnya grid-bot-vps-a atau portfolio-tracker. Nama menjadi penting saat Anda mengelola beberapa key.
3. Tetapkan passphrase. Simpan segera.
4. Biarkan izin pada Read Only kecuali program tertentu ini harus menempatkan atau membatalkan order. Jika memang perlu, aktifkan tepat satu cakupan trading: Spot untuk pasar spot, atau Futures/Contract untuk perpetual. Jangan aktifkan keduanya “untuk berjaga-jaga”.
5. Ikat key ke alamat IP mesin yang akan memanggil API. Dokumentasi WEEX menyatakan secara langsung bahwa key tanpa pengikatan IP “menimbulkan risiko keamanan”.
6. Selesaikan 2FA untuk mengonfirmasi. Salin APIKey dan SecretKey.
7. Tunggu sebelum menguji. Panduan API WEEX sendiri di bagian Learn mencatat bahwa key yang baru dibuat atau diubah dapat memerlukan sekitar 15 menit untuk menyebar secara global, sehingga 401 yang muncul segera belum tentu merupakan bug pada kode Anda.

Uji pertama yang baik adalah panggilan publik tanpa autentikasi, lalu panggilan bertanda tangan dalam mode read-only seperti kueri saldo akun. Hanya setelah keduanya berhasil Anda sebaiknya mencoba endpoint trading.

Izin API WEEX yang perlu diaktifkan untuk setiap kasus penggunaan

Model izinnya sengaja dibuat kecil sehingga mudah dipahami. Selain izin baca default, ada dua cakupan independen dan tidak ada yang lain.

Read Only cukup untuk lebih banyak program daripada yang diperkirakan orang. Pelacak portofolio, ekspor laporan pajak, peringatan Telegram tentang fill, dasbor posisi terbuka, dan pemantau funding rate—tidak ada yang perlu menempatkan order. Pertahankan semuanya dalam mode read-only. Jika key bocor, penyerang dapat melihat saldo dan riwayat Anda, yang memang tidak menyenangkan, tetapi tidak dapat memindahkan apa pun.

Cakupan trading Spot ditujukan bagi program yang membeli dan menjual pada pasangan spot: skrip DCA, bot grid spot, dan rebalancer. Cakupan ini tidak memberikan akses futures.

Cakupan trading Futures/Contract ditujukan bagi otomatisasi perpetual futures: strategi pengikut tren, lindung nilai funding rate, dan skrip perlindungan likuidasi yang menutup posisi. Cakupan ini tidak memberikan akses spot. Karena leverage memperbesar kerusakan yang dapat ditimbulkan program bermasalah, cakupan inilah yang harus dilindungi paling ketat dan yang paling membenarkan pengikatan IP.

Hal yang tidak tersedia adalah penarikan. Tidak seperti beberapa exchange yang menyediakan cakupan penarikan yang harus Anda ingat untuk tidak dicentang, dokumentasi API WEEX untuk spot dan futures hanya mencantumkan jenis izin Read dan Trade. Memindahkan dana dari exchange tetap memerlukan alur web atau aplikasi dengan 2FA dan kontrol alamatnya sendiri. Batasan ini adalah hal terpenting yang harus dipahami tentang keamanan API key WEEX: key trading yang bocor tidak dapat melakukan penarikan. Apa yang dapat dilakukan key tersebut dan bagaimana penyerang tetap mengeksploitasinya akan dibahas dalam artikel berikutnya di seri ini.

Batas 10 key dan cara menggunakannya

WEEX mengizinkan hingga 10 grup API key per akun. Batas ini terdengar besar sampai Anda mulai memperlakukan key dengan benar, yaitu satu key untuk setiap program dan mesin.

Alokasi yang masuk akal untuk pengguna aktif adalah: satu key read-only untuk tracker, satu untuk ekspor pajak, satu key Spot untuk bot DCA di server rumah, satu key Futures/Contract untuk strategi di VPS, satu key Futures/Contract untuk strategi kedua di VPS yang sama, serta dua atau tiga key cadangan untuk rotasi agar Anda dapat menerbitkan pengganti sebelum mencabut key lama. Itu sudah menggunakan tujuh atau delapan slot.

Dua kebiasaan membantu Anda tetap dalam batas. Pertama, hapus key segera setelah program dihentikan; key yang terlupakan dengan cakupan trading dan tanpa pengikatan IP merupakan risiko tersembunyi yang klasik. Kedua, jangan pernah menggunakan satu key untuk dua program demi menghemat slot. Jika salah satunya bermasalah atau bocor, Anda harus mencabut key untuk keduanya dan tidak dapat mengetahui dari riwayat order program mana yang menempatkan transaksi tertentu.

Penandatanganan, timestamp, dan error yang tampak seperti masalah izin

Sejumlah kegagalan yang disalahkan oleh integrator baru pada izin sebenarnya disebabkan oleh masalah tanda tangan atau jam. Memahami aturannya dapat menghemat waktu berjam-jam.

Pesan tanda tangan adalah gabungan timestamp dalam milidetik, metode HTTP dalam huruf besar, jalur permintaan, query string jika ada (dengan ? di awal), dan body JSON jika ada. String tersebut ditandatangani dengan HMAC SHA256 menggunakan SecretKey dan di-encode dalam Base64. Dokumentasi spot WEEX memberikan contoh 1591089508404GET/api/v3/market/depth?symbol=BTCUSDT&limit=20 untuk panggilan depth.

Timestamp diperiksa. WEEX menolak permintaan jika ACCESS-TIMESTAMP berbeda lebih dari 30 detik dari jam server. VPS dengan waktu yang melenceng akan menghasilkan kegagalan autentikasi yang muncul sesekali dan terlihat acak. Jalankan NTP, dan jika penolakan masih terjadi, ambil waktu server dari endpoint publik lalu sesuaikan permintaan Anda.

Rate limit terpisah dari izin, tetapi menimbulkan gejala yang sama membingungkannya. Sebagian besar endpoint REST dibatasi per IP menggunakan sistem bobot, endpoint penempatan order dibatasi per akun dalam bucket ORDERS, dan pelampauan salah satunya mengembalikan HTTP 429 lalu ban selama 10 detik. Baca header respons X-USED-WEIGHT dan X-ORDER-COUNT, jangan menebak anggaran Anda. Program yang terus membanjiri API setelah 429 akan memperpanjang bannya sendiri.

Hal yang biasanya terlewat trader di layar penyiapan

Ada tiga hal yang paling sering terlewat.

Passphrase bukan kata sandi yang dapat diatur ulang. Orang menganggapnya sebagai kolom biasa, memilih sesuatu dengan cepat, lalu kehilangannya saat membangun ulang server. WEEX mengharuskannya alfanumerik, jadi pilih string acak yang panjang dan simpan bersama SecretKey.

Pengikatan IP dilewati karena IP rumah berubah. Solusi yang benar bukan membiarkan key terbuka, melainkan menjalankan program di VPS atau instance cloud dengan alamat statis dan mengikat key ke alamat tersebut. Jika Anda harus menggunakan IP dinamis, pertahankan key dalam mode read-only dan tempatkan order secara manual.

Cakupan trading diaktifkan pada key yang hanya membaca. Hal ini biasanya terjadi karena tutorial untuk exchange lain menyuruh pembaca mencentang semuanya. Di WEEX, defaultnya Read Only karena alasan tertentu: mulai dari sana dan tambahkan cakupan hanya ketika permintaan gagal karena kekurangan izin.

Menyiapkan API key WEEX dengan benar, singkatnya

API key WEEX yang dikonfigurasi dengan baik bersifat read-only kecuali program benar-benar membutuhkan trading, memiliki tepat satu cakupan trading saat diperlukan, terikat pada IP statis mesin yang menggunakannya, memiliki passphrase yang disimpan bersama SecretKey, dan memakai satu dari 10 slot hanya untuk satu program. Jika kelima hal ini benar sejak hari pertama, sebagian besar saran keamanan API yang Anda baca di tempat lain menjadi tidak diperlukan. Buat key pertama sebagai Read Only, pastikan panggilan saldo bertanda tangan berhasil, lalu putuskan apakah key tersebut perlu menempatkan order.

FAQ

1. Apakah API key WEEX mengizinkan penarikan?

Tidak. Per September 2026, dokumentasi API spot dan futures WEEX hanya mencantumkan izin Read Only dan Trade (Spot atau Futures/Contract). Penarikan memerlukan alur web atau aplikasi dengan 2FA.

2. Berapa banyak API key yang dapat saya buat di WEEX?

Hingga 10 grup API key per akun. Setiap grup memiliki izin, passphrase, dan pengikatan IP opsional sendiri.

3. Apakah satu API key WEEX dapat melakukan trading spot dan futures?

Spot dan Futures/Contract merupakan cakupan trading yang terpisah. Aktifkan hanya yang dibutuhkan program; bot spot seharusnya tidak memiliki izin futures.

4. Mengapa key baru saya mengembalikan error autentikasi?

Penyebab umum meliputi jeda propagasi hingga sekitar 15 menit setelah pembuatan, timestamp yang berbeda lebih dari 30 detik dari waktu server, passphrase yang salah, atau panggilan dari IP yang tidak tercantum dalam daftar pengikatan key.

5. Apa yang terjadi jika saya kehilangan passphrase?

Passphrase tidak dapat dipulihkan. Hapus grup key dan buat yang baru, lalu perbarui setiap program yang menggunakan key lama.

6. Apakah pengikatan IP wajib?

Pengikatan IP bersifat opsional tetapi sangat disarankan dalam dokumentasi WEEX. Untuk key dengan cakupan trading apa pun, anggaplah pengikatan IP sebagai kewajiban.

Peringatan Risiko

Trading cryptocurrency spot dan futures memiliki risiko kerugian yang besar, termasuk kehilangan seluruh saldo; posisi futures berleverage dapat dilikuidasi dengan cepat di pasar yang volatil. Akses API menambah risiko operasional di atas risiko pasar: key yang salah konfigurasi, bug program, server yang disusupi, atau SecretKey yang bocor dapat menempatkan order yang tidak diinginkan dan tidak dapat dibatalkan. Key dengan cakupan trading harus diikat ke IP dan dipantau, dan setiap program harus diuji di demo sebelum menyentuh dana nyata. Tidak ada bagian dari artikel ini yang merupakan nasihat investasi; fitur platform yang dijelaskan akurat per September 2026 dan dapat berubah.