Coincheck(コインチェック) API の認証が上手くいかない

Question

Coincheck(コインチェック) API の認証が上手くいきません。

Coincheck(コインチェック)の公式サイトの API 概要に、

ーーーーーーーーーーーーーーーーーーーーー
認証が必要なリクエストでは、以下の情報を HTTP Header に含めてリクエストする必要があります。
ACCESS-KEY APIキー で作成したアクセスキー
ACCESS-NONCE 毎リクエストごとに増加する必要のある正の整数。通常はUNIXタイムスタンプを用います。最大値は 9223372036854775807 です。APIキーごとに管理されます。
**ACCESS-SIGNATURE **後述するSIGNATURE

SIGNATUREの作成
SIGNATUREは、ACCESS-NONCE, リクエスト先URL, リクエストのボディ を全て文字列にし連結したものを、HMAC-SHA256 hash形式でシークレットキーを使って署名した結果です。

SIGNATUREの作成に関しては、サンプルコードの　API_SECRET　などの部分を変更しています。

$strUrl = "https://coincheck.com/api/accounts/balance";
$intNonce = time();
$arrQuery = array("hoge" => "foo");
$strAccessSecret = "API_SECRET";
$strMessage = $intNonce . $strUrl . http_build_query($arrQuery);
$strSignature = hash_hmac("sha256", $strMessage, $strAccessSecret);
# => "3bc1f33d802056c61ba8c8108f6ffb7527bcd184461a3ea0fed3cee0a22ae15d"

上記を踏まえて

//仮の値
$strAccessKey = "アクセスキー";
$strUrl = "https://coincheck.com/api/accounts/balance";
$intNonce = time();
$arrQuery = array("hoge" => "foo");
//シークレットアクセスキー
$strAccessSecret = "API_SECRET";
$strMessage = $intNonce . $strUrl . http_build_query($arrQuery);
$strSignature = hash_hmac("sha256", $strMessage, $strAccessSecret);

//http header　情報
$headers = array(
  "ACCESS-KEY : " . $strAccessKey,
  "ACCESS-NONCE :" . $intNonce,
  "ACCESS-SIGNATURE :" . $strSignature,
  "Content-Type : application/x-www-form-urlencoded"
  );

$curl = curl_init();

curl_setopt($curl, CURLOPT_URL, $base_url);
curl_setopt($curl, CURLOPT_CUSTOMREQUEST, 'GET');
curl_setopt($curl, CURLOPT_SSL_VERIFYPEER, false);
curl_setopt($curl, CURLOPT_RETURNTRANSFER, true);
//ヘッダー追加オプション
curl_setopt($curl, CURLOPT_HTTPHEADER, $headers);
$response = curl_exec($curl);

// エラーが発生したかどうかを確認します
if (!curl_errno($curl)) {
  $info = curl_getinfo($curl);
  echo 'Took ', $info['total_time'], ' seconds to send a request to ', $info['url'], "\n";
}

$result = json_decode($response, true);

curl_close($curl);

//array(2) { ["success"]=> bool(false) ["error"]=> string(22) "invalid authentication" }
//無効な認証となってしまう
var_dump($result); 
exit();

実行した結果、
//array(2) { ["success"]=> bool(false) ["error"]=> string(22) "invalid authentication" }
//無効な認証となってしまう

となってしまいます。

// エラーが発生したかどうかを確認します
if (!curl_errno($curl))

でエラーはないので、リクエスト自体は、上手く届いていていると思います。

アクセスキーやシークレットキーも間違えがないか確認しました。

原因が分からなかったので、少しでも意見を頂けると幸いです。

//追記部分

$arrQuery = array("hoge" => "foo");
上記を削除して

$headersを下記のように書き直し、上手く取得できました。
$headers = array(
"ACCESS-KEY: {$strAccessKey}",
"ACCESS-SIGNATURE: {$strSignature}",
"ACCESS-NONCE: {$intNonce}",
);

取引所APIドキュメント（下記）
https://coincheck.com/ja/documents/exchange/api#account-balance
の残高の

{
  "success": true,
  "jpy": "0.8401",
  "btc": "7.75052654",
  "jpy_reserved": "3000.0",
  "btc_reserved": "3.5002",
  "jpy_lend_in_use": "0",
  "btc_lend_in_use": "0.3",
  "jpy_lent": "0",
  "btc_lent": "1.2",
  "jpy_debt": "0",
  "btc_debt": "0"
}

これは、リクエストボディとは、関係ないのでしょうか？

※SIGNATUREの作成
SIGNATUREは、ACCESS-NONCE, リクエスト先URL,** リクエストのボディ** を全て文字列にし連結したものを、HMAC-SHA256 hash形式でシークレットキーを使って署名した結果です。

Answer 1

検証できていないのですが...

$arrQuery = array("hoge" => "foo");
$strMessage = $intNonce . $strUrl . http_build_query($arrQuery);
$strSignature = hash_hmac("sha256", $strMessage, $strAccessSecret);

$arrQuery に array("hoge" => "foo"); を設定しているのはなぜでしょうか？

---

API のドキュメント

認証 - 取引所 API 概要

SIGNATUREの作成
SIGNATUREは、ACCESS-NONCE, リクエスト先URL, リクエストのボディ を全て文字列にし連結したものを、HMAC-SHA256 hash形式でシークレットキーを使って署名した結果です。

や

残高 - 取引所 API 概要

を見る限りは、「残高」には、リクエストのボディはありませんので、不必要なパラメータではないでしょうか。

Comments

[kokok]

回答ありがとうございます。

Q. $arrQuery に array("hoge" => "foo"); を設定しているのはなぜでしょうか？
＞＞Private APIを使う場合、まず認証が必要なため、認証ができているか仮の値を入れておりました。

Q. を見る限りは、「残高」には、リクエストのボディはありませんので、不必要なパラメータではないでしょうか。
＞＞無知ですみませんが、
{
"success": true,
"jpy": "0.8401",
"btc": "7.75052654",
"jpy_reserved": "3000.0",
"btc_reserved": "3.5002",
"jpy_lend_in_use": "0",
"btc_lend_in_use": "0.3",
"jpy_lent": "0",
"btc_lent": "1.2",
"jpy_debt": "0",
"btc_debt": "0"
}
(取引所APIドキュメント参照)
https://coincheck.com/ja/documents/exchange/api#account-balance

上記の部分がリクエストのボディに当たらないのでしょうか？

ちなみにですが、
$arrQuery に array("hoge" => "foo");
部分を
$arrQuery = array("success:" => true,
"jpy" => "0.8401",
"btc"=> "7.75052654");
などのように変更しても、無効な認証となってしまいます。

[CHERRY]

コインチェックのドキュメントは、送信するのか受信するのかの記載がないので、見にくいですね。

> 上記の部分がリクエストのボディに当たらないのでしょうか？

サーバーが送ってくる内容なので、レスポンスボディですね。

リクエストボディは、注文API で送信する

rate: 30000,
amount: 10,
order_type: "buy",
pair: "btc_jpy"

などの値です。

[kokok]

ちょっと、見にくかったです。。

回答ありがとうございました。
おかげで、理解できました。
ありがとうございます。

Answer 2

本質的な回答にはなっていませんが、このようなライブラリが公開されていますので、試してみたりソースを読んでみたりするといいかと思います。

https://github.com/coincheckjp/coincheck-php

Comments

[kokok]

回答ありがとうございます。
参考にしてみます。
ありがとうございます。