API key 与鉴权

创建密钥,了解接口鉴权方式。

鉴权:一把 API key

调用接口时用 API key 鉴权。Authorization: Bearer 和 x-api-key 两种请求头均支持(WebSocket 握手无法设置前者)。

# HTTP
curl https://api.pmwallets.com/v1/account/fills?limit=100 -H "Authorization: Bearer $PMW_KEY"

# WebSocket — the handshake cannot set Authorization, so the key goes in its own header
const ws = new WebSocket("wss://api.pmwallets.com/v1/ws", { headers: { "x-api-key": process.env.PMW_KEY } });

在API key 页创建和删除。key 只在创建响应中显示一次。我们只存哈希, 丢失后需重新创建。最多 5 把,可不停机轮换,删除立即生效。

不需要 Origin 头;请求里一旦出现 key 就优先使用它。账户接口(/v1/account 下的全部接口和 WebSocket)上,未知或已删除的 key 一律 401,不会改用 cookie。公开读接口包括 /v1/leaderboard、/v1/periods、/v1/markets 。这些接口将无效 key 视为未带 key:返回 200、匿名的 20 行样本、tier: "anon"。 带了 key 却返回此 tier,说明 key 无效。 接收 Webhook 时不用 API key。Webhook 接收端收到我们的请求后,用注册时保存的签名密钥验签。