Vì sao API sàn trả về 403 hoặc 451: chặn, khu vực và cách phân biệt

403 nghĩa là máy chủ hiểu yêu cầu và từ chối thực hiện. 451 nghĩa là truy cập bị từ chối vì lý do pháp lý. Trên API sàn tiền mã hóa, 403 có thể là tường lửa web, giới hạn yêu cầu, khóa không có quyền hoặc chặn khu vực, nên riêng mã không nói được là cái nào. Nội dung phản hồi, tài liệu của sàn và so sánh từ mạng khác thường cho biết. Hạn chế thật áp dụng với bạn vì một lý do, nên phản ứng đúng là tìm hiểu dịch vụ có được cung cấp nơi bạn ở không.

403 và 451 nói chung nghĩa là gì

Cả hai là mã trạng thái HTTP chuẩn. 403 Forbidden nói máy chủ từ chối yêu cầu và lặp lại mà không thay đổi sẽ không giúp gì. Nó không nói vì sao. 451 Unavailable For Legal Reasons hẹp hơn: MDN mô tả đó là tài nguyên không có vì lý do pháp lý, như trang web bị áp dụng hành động pháp lý. Số mã là lời nhắc đến tiểu thuyết Fahrenheit 451.

Thực tế, các sàn dùng hai mã này không nhất quán. 451 là tín hiệu rõ, và hợp lý khi cho rằng bạn ở vị trí bị hạn chế. 403 cần tìm hiểu thêm.

Các nguyên nhân phổ biến của 403 trên API sàn

Mỗi nguyên nhân trông giống hệt trong nhật ký chỉ ghi mã trạng thái.

• Tường lửa ứng dụng web. Tài liệu Binance nói HTTP 403 được dùng khi vi phạm giới hạn WAF. Tường lửa có thể phản ứng với kiểu yêu cầu, user agent lạ hoặc dải IP trung tâm dữ liệu.
• Chặn theo tần suất. Bybit trả 403, access too frequent khi IP vượt giới hạn, và nói phải dừng và đợi ít nhất 10 phút.
• Hạn chế khu vực. Nhiều sàn từ chối lưu lượng từ một số nước. Thông báo thường nói rõ, trong văn bản hoặc trường JSON.
• Quyền khóa hoặc danh sách IP cho phép. Khóa API giới hạn theo IP hoặc thiếu quyền có thể trả 401 hoặc 403. Thường kèm lỗi rõ ràng.
• Sai tên miền cho tài khoản. Một số sàn tách người dùng theo khu vực.
• Chặn từ CDN hoặc proxy. Mạng phân phối nội dung trước sàn có thể từ chối trước khi yêu cầu đến sàn. Khi đó nội dung là trang HTML chứ không phải JSON.

Đọc nội dung phản hồi

Đây là bước hữu ích nhất và hay bị bỏ qua, vì thư viện ném ngoại lệ theo mã trạng thái trước khi ai thấy nội dung. Hãy ghi lại.

• JSON có mã lỗi của sàn: ứng dụng của sàn đã trả lời. Tìm mã trong tài liệu.
• HTML có tên CDN, Ray ID hoặc thông báo bảo mật: proxy hoặc tường lửa đã trả lời. Ứng dụng của sàn có thể chưa thấy yêu cầu.
• Thông báo nêu quốc gia hoặc hạn chế dịch vụ: chặn khu vực. Hãy đọc đúng nghĩa đen.
• Nội dung trống: xem header phản hồi và thử từ mạng khác để so sánh.

Chúng tôi cũng phải tự giải quyết vấn đề này. Riêng 403 không khẳng định hạn chế quốc gia, nên kiểm tra của chúng tôi chỉ xếp phản hồi là chặn khu vực khi trạng thái là 451, hoặc 403 với nội dung nêu rõ hạn chế. Các lệnh chặn này được đếm riêng khỏi tỷ lệ khả dụng và hiển thị trên trang từng sàn, vì quyết định pháp lý không phải sự cố.

Tên miền API theo khu vực

Hạn chế khu vực không phải lúc nào cũng có nghĩa hoàn toàn không dùng được. Một số sàn vận hành pháp nhân và tên miền riêng cho từng nơi, và tài khoản gắn với một trong số đó. Tài liệu API của OKX là ví dụ rõ. Nó nêu bạn phải dùng đúng tên miền theo nơi đăng ký: người đăng ký tại app.okx.com ở Mỹ và Úc dùng us.okx.com, người tại my.okx.com ở EU dùng eea.okx.com, mỗi nơi có tài liệu riêng. Tài liệu Bybit cũng nhắc tên máy chủ địa phương như api.bybit.kz.

Vì vậy nếu yêu cầu thất bại, hãy kiểm tra bạn đang dùng tên miền khớp với đăng ký tài khoản. Đây là cách sửa chính đáng và chỉ cần theo tài liệu.

Máy chủ đám mây và uy tín IP

Chương trình chạy được trên laptop có thể lỗi trên máy chủ đám mây, kể cả cùng nước. Lý do gồm:

• Vị trí máy chủ. Vùng đám mây ở nước bị hạn chế sẽ bị từ chối, dù bạn sống nơi khác. Sàn có thể xem định vị IP chứ không phải bạn ở đâu.
• Lịch sử địa chỉ dùng chung. IP mới của bạn có thể từng bị người khác dùng để lạm dụng API, và tường lửa có thể còn nhớ.
• Lỗi định vị. Cơ sở dữ liệu ánh xạ IP sang quốc gia có thể sai. Sàn và nhà cung cấp đám mây đôi khi bất đồng về vị trí một dải.
• Kiểu lưu lượng tự động. Một số endpoint công khai nằm sau lớp bảo vệ chống bot. Yêu cầu chuẩn, tần suất hợp lý và tên máy chủ API chính thức đều giúp ích.

Hãy chọn vị trí máy chủ nơi sàn thực sự cung cấp dịch vụ. Nếu không chắc, xem điều khoản và danh sách nước bị hạn chế trước khi triển khai. Rồi chạy kiểm tra dưới đây từ máy chủ chứ không phải laptop.

Lệnh chặn có thật không? Cách kiểm tra

1. Gửi yêu cầu công khai không khóa từ máy bị ảnh hưởng, như endpoint giờ máy chủ của sàn, và lưu trạng thái cùng nội dung.
2. Lặp lại từ mạng khác trong cùng nước, như kết nối di động, nếu có.
3. So kết quả với trang trạng thái của sàn và số đọc độc lập như trang sàn của chúng tôi.
4. Nếu chỉ yêu cầu có chữ ký lỗi, vấn đề là quyền khóa, danh sách IP hoặc chữ ký chứ không phải chặn.
5. Nếu phản hồi nêu khu vực và điều khoản sàn liệt kê nó, hãy coi đó là câu trả lời cuối.

Hãy cẩn thận với kết luận rút ra. Kết quả từ một vị trí mô tả đường đó. Phép đo của chúng tôi đến từ một vị trí đã nêu, nên sàn chặn vị trí đó sẽ hiện trên trang là từ chối khu vực, điều không nói gì về việc bạn có dùng được không.

Không nên làm gì với chặn khu vực

Khi sàn hạn chế nước của bạn, người ta dễ muốn vòng qua bằng VPN hoặc proxy. Chúng tôi không khuyên, và không chỉ là hình thức. Có lý do thực tế.

• Có lẽ vi phạm điều khoản bạn đã đồng ý. Hầu hết sàn cấm khai sai vị trí.
• Đe dọa tiền của bạn. Sàn có thể hạn chế hoặc đóng tài khoản bị phát hiện, và lấy lại tiền có thể cần xác minh danh tính làm lộ sự không khớp.
• Có thể có hậu quả pháp lý tùy nơi bạn sống, và các quy định này đang thay đổi ở nhiều nước.
• Dễ vỡ. Hệ thống giao dịch dựa vào proxy có thêm một điểm hỏng lúc tệ nhất.

Con đường tốt hơn là tìm dịch vụ có giấy phép được cung cấp nơi bạn sống. Nếu cho rằng khu vực bị nhận diện sai, hãy liên hệ sàn qua hỗ trợ chính thức và hỏi. Khó có giải pháp nhanh, và trong lúc đó hãy giữ tiền an toàn.

Cách xử lý các mã này trong mã nguồn

• Đừng thử lại mù quáng 403 hoặc 451. Các mã này thường không hết sau thử lại nhanh, và lặp lại có thể làm chặn tường lửa tệ hơn. Hãy xử lý khác với 5xx.
• Ghi trạng thái, header và nội dung. Cắt nội dung đến độ dài an toàn và không bao giờ ghi bí mật. Một đoạn ngắn thường cho biết nguyên nhân.
• Tách nhóm trong giám sát. Từ chối khu vực và lỗi máy chủ nghĩa khác nhau. Gộp chúng làm số liệu khả dụng vô nghĩa.
• Báo người vận hành khi có 403 mới. Nó thường đánh dấu thay đổi bạn cần biết, như chính sách mới hoặc khóa bị hạn chế.
• Lùi lại với chặn tần suất kiểu Bybit. Hướng dẫn giới hạn tần suất nêu phản ứng đúng trong tình huống đó.

Câu hỏi thường gặp về 403 và 451

403 từ sàn có giống bị khóa không?

Không hẳn. Nó có thể tạm thời, như chặn theo tần suất, hoặc đến từ vị trí máy chủ chứ không phải điều bạn làm. Hạn chế tài khoản vĩnh viễn thường hiện khác, qua trang tài khoản hoặc tin nhắn từ sàn.

Vì sao endpoint dữ liệu công khai cũng bị chặn?

Một số sàn áp quy tắc khu vực ở biên mạng, trước khi xem bạn gọi endpoint nào. Đó là lý do chặn có thể xuất hiện trên endpoint công khai không cần khóa. Đó cũng là lý do phép đo của chúng tôi loại các phản hồi này khỏi tỷ lệ khả dụng thay vì báo sàn sập.

401 khác 403 thế nào?

401 thường nghĩa là xác thực thiếu hoặc không hợp lệ, nên thông tin đúng có thể đổi kết quả. 403 thường nghĩa là máy chủ biết bạn là ai, hoặc không cần biết, và vẫn từ chối. Sàn không phải lúc nào cũng theo sát phân biệt này, nên hãy xem nội dung và bảng mã lỗi.

Xử lý một lần từ chối

1. Ghi đầy đủ trạng thái, header và nội dung phản hồi.
2. Xem nội dung đến từ sàn hay proxy.
3. Tra mã lỗi trong tài liệu sàn.
4. Xác nhận bạn dùng đúng tên miền cho khu vực tài khoản.
5. Kiểm tra endpoint công khai từ mạng khác.
6. Đọc danh sách vị trí bị hạn chế của sàn.
7. Ngừng thử lại cho đến khi hiểu nguyên nhân.

Đọc thêm: Giới hạn tần suất API sàn và lỗi 429 · Cách kiểm tra sàn có bị sập không · Cách đọc tỷ lệ khả dụng API và lịch sử sự cố

Nguồn

MDN · 451 · Binance · Mã trả về HTTP · Bybit · Quy tắc giới hạn · OKX · Tài liệu API · Cách chúng tôi đo · Về Tickmark