Інтеграція API Kraken у мобільний криптододаток

Ми не раз бачили, як команди застрягають на етапі підпису запитів: HMAC-SHA512 з подвійним хешуванням відлякує навіть досвідчених розробників. Алгоритм Kraken один із найсуворіших серед публічних криптобірж. Але на практиці інтеграція на мобільних платформах займає пів дня, якщо знати нюанси. Наша команда з більш ніж 7-річним досвідом та 30+ виконаними інтеграціями біржевих API гарантує стабільну роботу без блокувань.

Проблеми, які ми вирішуємо

HMAC-SHA512 — основа підпису, але помилки виникають через невірне декодування приватного ключа. Private key — це Base64-бінарний секрет, а не ASCII-рядок. На iOS типова помилка: передати Data(privateKey.utf8) замість Data(base64Encoded: privateKey)!. На Android: забути декодувати Base64 перед використанням у Mac.getInstance("HmacSHA512"). Результат — підпис сформовано, але сервер повертає помилку аутентифікації.

Нестандартні імена активів: REST API використовує XBT замість BTC, XDG замість DOGE. Пари виглядають як XBTZUSD. WebSocket v2 нормалізовано (BTC/USD), але REST та історичні дані — ні. Без таблиці мапінгу користувач не впізнає свої активи. Ми реалізуємо аліасну карту з AssetPairs.

Rate limiting без підказок: Kraken не повертає заголовків із залишком ліміту. Перевищення — блокування IP на кілька хвилин. Ми впроваджуємо адаптивний інтервал: баланс раз на 10 секунд, ордери раз на 30, всі маркет-дані через WebSocket.

Як працює підпис запитів Kraken?

1. Згенеруйте nonce — Unix timestamp у мілісекундах.
2. Обчисліть SHA256 від nonce + postData (urlencoded рядок).
3. Створіть HMAC-SHA512 від urlPath + отриманий хеш, використовуючи Base64-декодований приватний ключ.

Результат — API-Sign. Якщо nonce не першим у postData, Kraken поверне EAPI:Invalid nonce. Неправильний підпис може коштувати часу та грошей: один помилковий ордер — до $100 збитку. Наш підхід виключає такі помилки. Ми використовуємо CryptoKit на iOS (доступний з iOS 13) та javax.crypto.Mac на Android. Детальніше в документації Kraken API.

Чому імена активів Kraken відрізняються від стандартних?

Історично Kraken використовував ISO-коди з префіксами: X — базова, Z — котирувана валюта. XBT = Bitcoin, XDG = Dogecoin. Усередині пар префікси подвоюються: XXBTZUSD. WebSocket v2 перейшов на читабельний формат (BTC/USD), але REST залишився старим. Ми будуємо таблицю з AssetPairs і відображаємо зручні назви, а в запитах використовуємо оригінальні.

WebSocket API v2: оновлення

З переходом на v2 змінився формат повідомлень: замість {"event":"subscribe"} — {"method":"subscribe","params":{...}}. Авторизація приватних каналів: отримуємо токен через REST /0/private/GetWebSocketToken, передаємо в params.token при підписці на executions (ордери) або balances. Токен живе 15 хвилин — необхідний механізм оновлення. Без нього сесія тихо помре, і користувач перестане бачити оновлення ордерів.

Приклад коду підпису на Swift:

import CryptoKit

func generateSignature(urlPath: String, body: Data, secret: String) -> String {
    let secretData = Data(base64Encoded: secret)!
    let nonce = "\(Date().timeIntervalSince1970 * 1000)"
    var postData = "nonce=\(nonce)"
    if let additionalData = String(data: body, encoding: .utf8) {
        postData += "&\(additionalData)"
    }
    let sha256 = SHA256.hash(data: postData.data(using: .utf8)!)
    let hmac = HMAC<SHA512>.authenticationCode(for: urlPath.data(using: .utf8)! + sha256.data, using: SymmetricKey(data: secretData))
    return hmac.compactMap { String(format: "%02x", $0) }.joined()
}

Що входить в роботу

• Аналіз поточної архітектури додатку та вибір відповідного стеку (iOS: URLSession + Combine, Android: OkHttp + Coroutines).
• Реалізація підпису та обробки помилок (включаючи реконнект WebSocket).
• Налаштування push-сповіщень (APNs/FCM) для підтвердження ордерів.
• Тестування на реальних торгових даних з симуляцією rate limit.
• Документація — опис ендпоінтів, приклади запитів, інструкція з експлуатації.
• Гарантія — 30 днів безкоштовної підтримки після запуску.

Хочете уникнути цих проблем? Замовте інтеграцію Kraken у нас — отримайте безкоштовний аналіз вашого додатку. Оцінимо ваш проект за один робочий день. Зв'яжіться з нами для консультації.

Стек та терміни

Для нативного iOS: CryptoKit (HMAC-SHA512), URLSessionWebSocketTask, Combine Publisher. Для Android: Mac з HmacSHA512, OkHttp WebSocket, Kotlin Coroutines + Flow. Інтеграція spot (без маржі) — 3–4 тижні. Futures API — окремо, з іншою аутентифікацією. Якщо хочете оцінити терміни для вашого проекту, зв'яжіться з нами.

Оцінимо проект за один робочий день. Отримайте консультацію з інтеграції Kraken у ваш додаток — безкоштовно.

Інтеграція API в мобільний додаток: з чого почати

Запит йде, відповідь не приходить, timeout — 30 секунд. Користувач дивиться на спінер. Мережі немає — мобільна карта в метро. Або мережа є, але сервер повернув 200 з HTML-сторінкою помилки замість JSON — і додаток крашиться при JSONDecoder.decode(). Ми бачимо такі кейси на кожному другому проєкті. Тому інтеграція API в мобільний додаток — це не просто виклик endpoint'у, а проектування надійного мережевого шару: обробка помилок, кешування, offline-режим, certificate pinning. Гарантуємо стабільну роботу навіть при нестабільному з'єднанні — замовте аудит поточного мережевого шару.

Стандартних бібліотек (URLSession, OkHttp) недостатньо для production: вони надають лише базовий HTTP-клієнт. Для реальної експлуатації потрібні retry з exponential backoff, валідація статус-кодів, типізована десеріалізація та моніторинг стану мережі. Без цього додаток втрачає дані та користувачів. Ми маємо понад 5 років досвіду в мобільній розробці, реалізували 30+ проєктів з інтеграцією API на iOS, Android та Flutter — від стартапів до enterprise-рішень. Сертифіковані iOS/Android розробники гарантують якість коду.

Як вибрати протокол для інтеграції API?

REST залишається стандартом для більшості проєктів. Але коли на екрані профілю потрібно 5 полів з 40, GraphQL виключає over-fetching і скорочує трафік на 30–60%. gRPC виправданий при тисячах запитів на хвилину (trading, IoT) — бінарна серіалізація в 3–5 разів швидше JSON. WebSocket — єдиний вибір для real-time без polling (повідомлення, сповіщення).

Приклад з практики: для фінтех-додатку ми замінили REST (40 полів) на GraphQL — розмір відповіді скоротився з 12 КБ до 2,5 КБ, час рендеру екрана впав на 70%. Економія трафіку була значною при 100 000 активних користувачів.

Як забезпечити надійність з'єднання та offline-first?

Користувачі втрачають мережу в метро, ліфті, тунелі. Мобільний додаток зобов'язаний працювати без інтернету — хоча б у read-only режимі. Ми впроваджуємо патерн offline-first:

1. При відкритті екрану спочатку показуємо дані з локального кешу (Core Data / Room).
2. Паралельно виконуємо мережевий запит, оновлюємо UI після відповіді.
3. Якщо мережа недоступна — показуємо кешовані дані та позначку «немає з'єднання».
4. При відновленні мережі автоматично синхронізуємо зміни.

Для кешування HTTP-відповідей використовуємо URLCache (iOS) та OkHttp Cache (Android) з підтримкою Cache-Control. Для структурованих даних — SwiftData / Room. NWPathMonitor / ConnectivityManager.NetworkCallback відстежують стан мережі та тригерять оновлення. Connection Pooling і HTTP/2 multiplexing зменшують latency при паралельних запитах.

REST та вибір клієнтської бібліотеки

Alamofire (iOS) — де-факто стандарт для Swift-проєктів. Поверх URLSession додає request chaining, response validation, automatic retry, certificate pinning через ServerTrustManager. AF.request() з .validate() повертає помилку для будь-якого статус-коду поза 200–299. Без .validate() Alamofire вважає 404 та 500 успішними відповідями. З Swift Concurrency — async-версія через serializingDecodable.

Retrofit (Android) — анотаційний HTTP-клієнт поверх OkHttp. Інтерфейс з анотаціями компілюється в реалізацію. @GET, @POST, @Path, @Query, @Body — декларативний опис API. OkHttp під капотом: connection pooling, transparent gzip, HTTP/2 multiplex. HttpLoggingInterceptor — логування в debug-збірці. Authenticator — автоматичний refresh токена при 401. Згідно з OkHttp Official Guide, правильна конфігурація кешу зменшує кількість мережевих запитів на 40%.

Ktor (KMM/Flutter) — мультиплатформний HTTP-клієнт. На iOS працює через Darwin engine (URLSession), на Android — через OkHttp. Єдиний код для обох платформ при KMM-архітектурі.

GraphQL: коли REST не справляється

REST повертає фіксовану структуру. Екран профілю вимагає name, avatar, email — сервер віддає 40 полів. Over-fetching. GraphQL вирішує це: клієнт запитує рівно потрібні поля. Це критично для мобайлу, де трафік і час парсингу — реальні обмеження. Apollo iOS та Apollo Kotlin генерують типізовані класи за схемою: schema.graphql + query-файли → строгі типи на етапі компіляції. Subscriptions через WebSocket — real-time без polling. Обмеження: GraphQL складніше кешувати на рівні HTTP. Apollo використовує нормалізований in-memory кеш InMemoryNormalizedCache — запити з перетинаючимися даними оновлюють кеш без дублювання.

WebSocket: real-time без зайвого трафіку

Polling (setInterval кожні 5 секунд) — витрата батареї та трафіку. WebSocket — постійне двоспрямоване з'єднання. iOS: URLSessionWebSocketTask (нативний, iOS 13+). Android: OkHttp WebSocket. Обов'язкова обробка reconnect: при onFailure — експоненційний backoff (1с → 2с → 4с → 8с → максимум 60с). Socket.IO — надбудова з автоматичним reconnect, але для нових проєктів краще нативний WebSocket (менше залежностей). TLS 1.3 забезпечує безпеку з'єднання.

Чому важливий certificate pinning?

Корпоративний проксі може перехопити HTTPS через підміну сертифіката. Certificate pinning запобігає цьому: додаток приймає тільки конкретний сертифікат або публічний ключ. Alamofire: ServerTrustManager з PinnedCertificatesTrustEvaluator. OkHttp: CertificatePinner з SHA-256 хешем. Операційна складність: при ротації сертифіката старі версії додатку перестають працювати. Рішення — pinning на публічний ключ CA або підтримка кількох пінів з grace period. Правильне впровадження pinning гарантує захист від MITM-атак.

Що входить у роботу

Ми передаємо: вихідний код мережевого шару, документацію по використовуваних бібліотеках, інструкцію з ротації сертифікатів, підтримку протягом 2 тижнів після здачі.

Терміни та вартість

Реалізація мережевого шару з REST, retry, кешуванням та offline-режимом — 1–2 тижні. Додавання GraphQL або WebSocket — ще 1–2 тижні. gRPC — 2–3 тижні, включаючи кодогенерацію. Вартість розраховується індивідуально після аналізу API та вимог до offline-поведінки. Оцінимо проєкт за 1 день — зв'яжіться з нами для консультації. Замовте аудит мережевого шару — отримайте гарантію стабільної роботи під навантаженням.