Аутентификация в Apex

Получите API-ключ

Откройте панель управления OrbitFlare и перейдите в раздел Dashboard > Apex, чтобы создать ключ. Каждый ключ относится к тарифу, а тариф задаёт ваш минимум чаевых и лимит запросов.

Обращайтесь с ключом как с паролем. Любой, у кого он есть, может отправлять транзакции в счёт вашего лимита запросов. Потратить ваши средства он не может: транзакции по-прежнему подписываются вашей собственной ключевой парой.

HTTP: заголовок или параметр запроса

По HTTP ключ передаётся с каждым запросом. Передать его можно двумя способами:

Способ	Пример	Примечания
Заголовок `x-api-key` (рекомендуется)	`x-api-key: YOUR_API_KEY`	Ключ не попадает в URL, логи и историю браузера
Параметр запроса `api-key`	`http://fra.apex.orbitflare.com?api-key=YOUR_API_KEY`	Для инструментов, которые принимают только URL, например поле RPC URL

curl -s http://fra.apex.orbitflare.com \
  -H "Content-Type: application/json" \
  -H "x-api-key: $APEX_API_KEY" \
  -d '{"jsonrpc":"2.0","id":1,"method":"getTipAccounts","params":[]}'

curl -s "http://fra.apex.orbitflare.com?api-key=$APEX_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"jsonrpc":"2.0","id":1,"method":"getTipAccounts","params":[]}'

Те же два варианта работают на простых HTTP-маршрутах (/send, /send-bin, /send-batch, /send-bundle).

HTTP-маршруты не шифруются, как и у других отправителей Solana: ваш API-ключ и транзакции может прочитать любой, кто находится на сетевом пути. Предпочитайте QUIC, где ключ не покидает вашу машину, или отправляйте по HTTP только из доверенной сети. Если считаете, что ключ был раскрыт, перевыпустите его в панели управления.

getTipAccounts, getVersion, health и GET /ping не требуют ключа. Всё, что отправляет транзакцию, требует. При отсутствующем или недействительном ключе возвращается ошибка JSON-RPC -32001 или HTTP 401 на простых маршрутах. См. Ошибки и лимиты запросов.

QUIC: клиентский сертификат

В QUIC отдельные запросы не аутентифицируются, и ваш API-ключ никогда не передаётся по сети. Вместо этого:

Ваш клиент выводит ключевую пару ed25519 из API-ключа.
Он предъявляет этот публичный ключ в своём клиентском TLS-сертификате во время QUIC-рукопожатия.
Эндпоинт Apex сопоставляет публичный ключ с вашим аккаунтом. С этого момента каждый поток в этом соединении принадлежит вам.

Крейт Rust orbitflare-apex и модуль Go orbitflare-apex-go делают всё это за вас. Для других языков вывод ключа выглядит так:

seed    = HKDF-SHA256(ikm = api_key bytes, salt = "orbitflare-apex", info = "orbitflare-apex/quic-client-cert/v1", L = 32)
keypair = ed25519 keypair from seed

Оберните публичный ключ в фиктивный сертификат X.509 Solana, в том же формате, который валидаторы используют для TPU QUIC (new_dummy_x509_certificate в крейте solana-tls-utils). Эндпоинт проверяет только ключ внутри сертификата. Остальные поля сертификата игнорируются. Тестовый вектор: из API-ключа test-api-key выводится публичный ключ 2ovF9aU8fszHXpZwxaC1S9NF2m5VVDRBUvDUVQvXs4Tv. Если рукопожатие не удалось, эндпоинт закрывает соединение с кодом ошибки приложения:

Код закрытия	Значение
`1`	Клиентский сертификат не был предъявлен
`2`	Ключ сертификата не соответствует ни одному API-ключу
`3`	Слишком много соединений: не более 128 на API-ключ и 64 на адрес. Достаточно одного

Проверьте свой выведенный ключ

Панель управления показывает клиентский публичный ключ рядом с каждым API-ключом. Если ваше QUIC-соединение отклоняется, сравните эти два ключа. С помощью крейта Rust:

use orbitflare_apex::client_pubkey;

fn main() {
    let api_key = std::env::var("APEX_API_KEY").expect("APEX_API_KEY is required");
    // Prints the certificate key only, never the API key itself.
    println!("{}", client_pubkey(&api_key));
}

С помощью модуля Go:

package main

import (
	"fmt"
	"os"

	apex "github.com/orbitflare/orbitflare-apex-go"
)

func main() {
	fmt.Println(apex.ClientPubkey(os.Getenv("APEX_API_KEY")))
}

Несовпадение означает, что ключ был скопирован неправильно.

Браузеры

Каждый HTTP-ответ содержит Access-Control-Allow-Origin: *, а на предварительные запросы OPTIONS даётся ответ, поэтому вы можете обращаться к эндпоинту Apex из браузерного кода.

API-ключ, встроенный в публичную веб-страницу, виден каждому посетителю. Для публичных фронтендов отправляйте через собственный бэкенд или используйте ключ, который вы готовы заменить.

Эндпоинты Apex обслуживаются по обычному HTTP на порту 80. Страница, которая сама загружена по HTTPS, подпадает под правила браузера о смешанном содержимом, поэтому тестируйте в той среде, в которой планируете выпускать продукт.

Начало работы

Продукты

Решения

Получение данных

RPC

Потоковые данные

Apex

Торговые API

Аутентификация в Apex

Получите API-ключ

HTTP: заголовок или параметр запроса

QUIC: клиентский сертификат

Проверьте свой выведенный ключ

Браузеры

​Получите API-ключ

​HTTP: заголовок или параметр запроса

​QUIC: клиентский сертификат

​Проверьте свой выведенный ключ

​Браузеры

Получите API-ключ

HTTP: заголовок или параметр запроса

QUIC: клиентский сертификат

Проверьте свой выведенный ключ

Браузеры