Kraken REST 认证 nonce 与签名重放控制清单

决策矩阵

来源地图

• Kraken Exchange API Documentation：Spot REST Authentication（kraken-rest-auth）
• Kraken Support：How to create an API key（kraken-create-api-key）
• Kraken Support：What is an API? What does an API do?（kraken-api-overview）
• Kraken Support：Securing your Kraken account and digital life（kraken-account-security）

控制说明

1. Nonce generation

这一项要求读者把公开来源翻译成操作规则。这里的含义是：private REST calls need a nonce that cannot be casually reused across requests。可执行动作是：choose one nonce generator per key and document sequence ownership。仍然未知的是：multi-process bots and retry races。因此本文不会把未知部分包装成收益承诺、牌照承诺、审批保证、安全保证、恢复保证、平台排名或价格暗示。

2. Signature construction

这里的含义是：API-Sign proves request construction, not general account safety。可执行动作是：test signing with non-secret fixtures before storing live secrets。仍然未知的是：library bugs and hidden serialization differences。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

3. Permission boundary

这里的含义是：a valid signature can still be unsafe if the key has broad permissions。可执行动作是：record the exact non-secret permission inventory before private endpoint use。仍然未知的是：future permission changes and private account restrictions。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

4. Secret handling

这里的含义是：API secret material must stay out of reports, logs and prompts。可执行动作是：log only key nickname, scope and non-secret request IDs。仍然未知的是：vendor storage and incident response timing。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

5. Stop condition

这里的含义是：automation should pause when nonce, signature, permission or revocation evidence is incomplete。可执行动作是：stop before enabling private endpoints if replay controls or key disable path are unclear。仍然未知的是：future endpoint behavior and account-specific treatment remain unknown。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

仍需明确的未知项

• multi-process bots and retry races
• library bugs and hidden serialization differences
• future permission changes and private account restrictions
• vendor storage and incident response timing
• future endpoint behavior and account-specific treatment remain unknown

实用结论

Kraken REST authentication 是一份实现清单，而不仅是持有 API key 的检查。Kraken exchange API 文档描述 REST authentication 使用 API-Key、API-Sign 与 nonce；Kraken Support 另行说明 API-key creation、permission selection 与 account security practices。实际决策是在把任何 private endpoint 接入自动化前，把 nonce generation、signature construction、key permission、IP scope、clock/sequence handling、error logging 与 emergency key revocation 作为独立证据字段。 本文停在证据边界内，帮助读者决定下一步核验什么，而不是把公开文档改写成私人账户、钱包、API key、池子路径、稳定币余额、代币化资产或政策框架在任何未来条件下都能成功的承诺。