6MM API Autenticación: JWT y API Claves
6MM API Autenticación: JWT y API Claves
6MM soporta tokens de acceso JWT y API Claves para acceso privado API . Elige el método según si la solicitud pertenece a una sesión interactiva de usuario o a una integración backend de larga duración.
Elige un método de autenticación
JWT
Después de iniciar sesión, el API devuelve un accessToken. Al llamar a endpoints privados, incluye:
Mantén el token fuera de URLs y registros. Cuando un token expire, obtén un token válido a través del flujo de inicio de sesión aprobado o de actualización antes de volver a intentar la solicitud privada.
API Key
Cuando el encabezado de X-API-KEY solicitud está presente, el servidor usa API Key HMAC autenticación:
API Key endpoints de gestión deben usar JWT. API Las llaves no pueden manejarse solas.
API Key solicitudes también requieren la marca de tiempo y HMAC firma descrita en Request Firming. Almacena el secreto API correspondiente solo en un sistema de gestión de secretos de backend.
API Key Permisos
Para otorgar permisos tanto de lectura como de comercio, usa permissions=3.
Usa el conjunto de permisos más pequeño que requiera la integración. Un servicio de datos de mercado no debe recibir permisos de operación, mientras que un servicio de órdenes necesita ese permiso incluso cuando solo consulta órdenes o posiciones.
Lista de verificación de seguridad en producción
- Crear API Claves separadas para desarrollo, puesta en escena y producción.
- Aplicar una lista blanca IP donde la integración tenga direcciones salientes estables.
- Nunca expongas API secretos en el código del navegador, móvil o aplicación de escritorio.
- Sincronizar el tiempo del servidor antes de generar solicitudes firmadas.
- Redactar encabezados de autorización, API Claves, firmas y secretos de los registros de aplicaciones.
- Revocar y reemplazar una clave inmediatamente cuando se sospeche exposición.