Kalshi API Authentication: İmzalı İstekler Nasıl Çalışır

Kalshi'de bir trading botu yazmaya başladığında ilk engel hep aynı: API key ve imzalı istekler. Pazar verisi (/markets, /events, /series, order book) açık, anahtar yok. Ama hesap bilgisine dokunduğun an (/portfolio/balance, /portfolio/positions, /portfolio/fills) ya da emir verdiğin anda Kalshi üç header ve kriptografik imza istiyor.

Kalshi Trade API v2 iki türe ayrılır. Birincisi, kimlik doğrulama gerektirmeyen genel market verileri. İkincisi, hesapla bağlı imzalı istekler. Production'da `https://trading-api.kalshi.com/trade-api/v2` base URL'sini kullan.

İmza oluşturma işlemi basit ama hata yapması kolay. İstek zamanı (timestamp), HTTP yöntemi (GET, POST), endpoint path ve body'yi birleştirip HMAC-SHA256 ile imzalarsın. Eğer body varsa (POST/PUT), JSON'u tam olarak gönderdiğin gibi hash'le, ekstra boşluk ya da farklı key sırası 401 döndürür.

API key'ler scope'lu olabilir. Bazı anahtarlar sadece okuma (read-only), bazıları emir verme (trade) iznine sahip. Sub-account binding varsa, o key sadece belirli bir alt hesapla çalışır. Üretim ortamında her zaman en kısıtlayıcı scope'u seç.

Sık yapılan hata: timestamp'i UTC'ye çevirmemek, body'yi hash'lemeden önce string'e dönüştürmemek ya da header'larda yanlış key adı kullanmak. Kalshi 401 döndürdüğünde ilk kontrol et, imza algoritması doğru mu, timestamp 30 saniye içinde mi, header isimleri tam mı?

Kalshi API Authentication rehberini oku, örnek kodları test et. Üretim'e geçmeden local'de imza doğrulama'sını en az beş kez çalıştır.