API de trading crypto : REST, WebSocket, clés et sécurité expliqués

Une API de trading crypto permet à un programme de lire des données de marché et, si la clé l’autorise, de transmettre des ordres. Pour commencer sans élargir inutilement le risque, utilisez d’abord la lecture seule, comprenez les limites de requêtes et vérifiez toujours l’état réel de l’ordre avant une nouvelle action.

La page française API WEEX, à l’état du 20 septembre 2026, présente REST et WebSocket pour les données de marché. Le programme utilise cette connexion pour recevoir des données ou transmettre des instructions à la plateforme.

Qu’est-ce qu’une API de trading crypto ?

Une interface de programmation sert de contrat entre votre logiciel et l’exchange. Le logiciel envoie une requête structurée ; la plateforme renvoie des données, une confirmation ou une erreur. Une requête publique peut demander un prix, des chandeliers ou la profondeur du carnet. Une requête privée est authentifiée et peut lire un solde, rechercher un ordre ou transmettre une action autorisée.

Le bot n’est ni le marché ni un portefeuille autonome. Une coupure peut empêcher une annulation, un bug peut envoyer une action inattendue et une logique mal conçue peut répéter une décision. Définissez d’abord les limites de position et l’arrêt d’urgence, puis écrivez la stratégie.

REST et WebSocket : deux flux complémentaires

REST, pour Representational State Transfer, fonctionne par requêtes et réponses séparées. Il convient pour récupérer la configuration, consulter un solde, rechercher un ordre ou envoyer une action ponctuelle. Le programme choisit quand demander l’information et doit gérer les délais, les erreurs et les nouvelles tentatives.

WebSocket ouvre une connexion persistante qui reçoit des événements : transactions, carnet ou mises à jour privées. Il évite des interrogations répétées, mais demande de gérer les pings, les reconnexions, les doublons et les abonnements. La page API WEEX, avec son accès aux flux temps réel, est le point de départ pour identifier le flux correspondant au produit.

Un système peut utiliser WebSocket pour recevoir un événement, puis REST pour relire l’état après une reconnexion. La réception d’une réponse réseau ne prouve pas qu’un ordre est exécuté : attendez l’état confirmé ou recherchez l’ordre avant de décider quoi faire ensuite.

Clés et permissions : réduire l’exposition

La préparation d’une clé WEEX commence par le mode lecture seule. Au 20 septembre 2026, la documentation WEEX sur les clés décrit les permissions Read et Trade, une limite de dix groupes de clés par utilisateur et la restriction par adresse IP.

• Pour un tableau de bord, gardez la lecture seule.
• Pour un programme qui passe des ordres spot, activez uniquement la permission de trading nécessaire.
• Conservez une clé distincte pour chaque usage afin de pouvoir révoquer un accès sans arrêter tous les services.
• N’accordez jamais à un programme une permission de retrait.
• Utilisez une restriction d’adresse IP lorsque votre infrastructure le permet, sans la traiter comme une protection suffisante.

Conservez la clé, le secret et la phrase secrète dans un gestionnaire de secrets, jamais dans le dépôt ou les journaux. La documentation de préparation indique que la phrase secrète ne peut pas être récupérée : après sa perte, il faut créer une nouvelle clé. Une sauvegarde chiffrée aide à éviter cette interruption, mais ne remplace pas la révocation d’une clé exposée.

Limites de débit et réponses d’erreur

Au 20 septembre 2026, la documentation WEEX sur les restrictions d’accès distingue les placements d’ordres, limités par compte, des autres requêtes, notamment les annulations et consultations d’ordres, limitées par adresse IP. Un dépassement peut renvoyer une réponse 429 et entraîner une interdiction temporaire de dix secondes.

Ne copiez pas un plafond fixe trouvé dans un ancien tutoriel. Le programme doit lire les limites applicables dans la configuration qu’il reçoit, ralentir avant le plafond et traiter une réponse refusée sans relancer immédiatement la même requête. Après une erreur, vérifiez séparément l’état de l’ordre : une panne réseau ne permet pas de conclure que l’action a échoué.

Idempotence et vérification de l’état

Une opération est idempotente si la répéter produit le même effet que l’exécuter une seule fois. Un identifiant client peut aider à retrouver une demande ; il ne garantit pas à lui seul qu’un ordre ne sera jamais dupliqué.

1. Récupérez la configuration et vérifiez le symbole, la taille et la précision acceptés.
2. Recevez les données publiques, calculez votre signal et appliquez une limite de position indépendante de l’exchange.
3. Signez l’action privée avec la clé dédiée et conservez la réponse technique.
4. Recherchez l’ordre ou relisez les positions après la réponse, puis comparez l’état de la plateforme avec votre mémoire locale.
5. Arrêtez les nouvelles actions si le flux est incohérent, si l’horloge dérive ou si une limite de risque est atteinte.

La sécurité avant la première requête

• Activez l’authentification à deux facteurs du compte et protégez l’adresse e-mail liée.
• Utilisez un serveur à jour, des journaux sans secrets et un accès administrateur limité.
• Testez les erreurs de réseau, les horloges désynchronisées, les réponses 429 et la reconnexion.
• Définissez une perte maximale, une taille maximale, un nombre maximal d’ordres et un arrêt externe.
• Révoquez une clé qui n’est plus utilisée et faites tourner les secrets après un incident.
• Vérifiez le domaine avant de créer une clé : une fausse page peut voler les identifiants avant tout appel.

Questions fréquentes

Une API est-elle réservée aux développeurs expérimentés ?

Non, mais elle exige une discipline technique. La lecture seule permet d’observer un marché sans transmettre d’ordre. Dès qu’une permission de trading est activée, il faut comprendre les erreurs, les limites, les secrets et l’arrêt du programme.

REST est-il meilleur que WebSocket ?

Ils répondent à des besoins différents. REST convient à une demande ciblée et à la réconciliation ; WebSocket convient à un flux continu. Le choix dépend du délai nécessaire et doit être accompagné d’une vérification d’état.

Une clé limitée à certaines adresses IP supprime-t-elle le risque ?

Non. Elle réduit l’usage depuis une adresse imprévue, mais ne corrige ni un bot mal codé, ni une machine compromise, ni une permission trop large, ni une stratégie déficitaire.

Que faire après une erreur 429 ?

Arrêtez les nouvelles tentatives immédiates, relisez les limites, attendez avant de reprendre et vérifiez les ordres et positions. Une boucle agressive peut prolonger le blocage et empêcher une annulation utile.

Où commencer ?

Commencez par la page française API WEEX, puis vérifiez la version et les paramètres dans la documentation technique liée par cette page avant d’écrire un connecteur.

L’automatisation crypto comporte un risque de marché, de logiciel et de sécurité ; ce contenu ne constitue pas un conseil en investissement et aucune performance future n’est garantie.