6MM API 認証: JWT と API キー

6MMはプライベートAPI アクセスのためのJWTアクセストークンとAPI キーをサポートしています。リクエストがインタラクティブなユーザーセッションに属するか、長期的なバックエンド統合に属するかに基づいて方法を選択します。

認証方法を選択してください

JWT

ログイン後、 API は accessTokenを返します。プライベートエンドポイントを呼び出す際、以下が含まれます:

1
Authorization: Bearer YOUR_ACCESS_TOKEN

トークンはURLやログから除外してください。トークンが期限切れになったら、承認されたログインまたはリフレッシュフローで有効なトークンを取得してから、プライベートリクエストを再試行してください。

API Key

X-API-KEYリクエストヘッダーが存在する場合、サーバーはAPI Key HMAC認証を使用します:

1
X-API-KEY: YOUR_API_KEY

API Key 管理エンドポイントは JWTを使用しなければなりません。 API キーは自分自身を管理できません。

API Key リクエストには、以下に記載されたタイムスタンプと HMAC 署名も必要です。 リクエスト署名.対応する API シークレットはバックエンドのシークレット管理システムにのみ保存します。

API Key 許可

読み取り権限と取引権限の両方を付与するには、 permissions=3をご利用ください。

統合で必要な最小の権限セットを使用してください。マーケットデータサービスは取引権限を受け取るべきではありませんが、注文サービスは注文やポジションのみを照会する場合でも取引権限が必要です。

本番環境のセキュリティチェックリスト

• 開発、ステージング、プロダクション用の別々の API キーを作成すること。
• 統合が安定したアウトバウンドアドレスを持つ IP ホワイトリストを適用します。
• ブラウザ、モバイル、デスクトップのアプリケーションコード内で API 秘密を絶対に公開しないでください。
• 署名要求を生成する前にサーバー時間を同期すること。
• Redact認可ヘッダー、 API キー、署名、アプリケーションログからの秘密情報。
• 露出が疑われた場合、鍵を即時に取り消し、再発行すること。

今後のステップ