Setup API Bybit 2026: Izin Key, IP, Rate Limit dan Demo

Sebelum program bisa trading di Bybit, ada tiga hal yang perlu disiapkan: API key dengan izin secukupnya, pola request yang tidak melewati rate limit, dan lingkungan uji tempat kesalahan tidak memakan biaya. Panduan ini disusun dari dokumentasi resmi Bybit V5 API dan Help Center, diverifikasi 2026-09-28: di mana membuat key, izin apa yang dicentang, kenapa harus mengikat IP, kapan key tanpa IP kedaluwarsa, batas REST dan WebSocket, Demo Trading dibanding Testnet, dan terakhir apa kata ketentuan resmi soal biaya dan rebate untuk order API. Ikat Bybit ke Quant Nova dengan kode referral NOVA888, pengguna baru dapat rebate biaya 30% di Lv.1, 1,5 kali kode referral umum 20%, jadi sebagian biaya dari setiap eksekusi strategi Anda bisa kembali.

Jawaban singkat

• API key hanya bisa dibuat lewat website, tidak lewat aplikasi; akun yang baru daftar bisa dibatasi selama 48 jam pertama.
• Izin berupa read-only atau read-write: strategi futures butuh Contract Trade (order, posisi), strategi spot butuh Spot Trade. Izin Withdraw di Wallet (hanya akun utama) tidak pernah dibutuhkan untuk menjalankan strategi, jadi jangan dicentang.
• Key tanpa IP terikat kedaluwarsa setelah 90 hari; setelah password akun diganti, key tanpa IP berhenti berfungsi 7 hari kemudian.
• Rate limit dua lapis: 600 request HTTP per 5 detik per IP (lewat batas diblokir 10 menit), ditambah batas per UID per detik untuk tiap endpoint: 10 order/detik di perpetual USDT dan 20 order/detik di spot.
• Mulai dari Demo Trading: harga mengikuti mainnet, ada 50.000 USDT dan aset simulasi lain, domainnya api-demo.bybit.com.
• Rebate: tier biaya Pro Bybit tidak berlaku untuk pengguna afiliasi dan referral, jadi pengguna API yang terikat membayar biaya sesuai level VIP; ketentuan tidak menyebut order API secara khusus, jadi dihitung atau tidak ditentukan oleh rincian penyelesaian. Mengikat rebate hanya butuh UID, tidak pernah API key.

Sebelum mulai: empat batasan resmi

• Hanya lewat website: Help Center menyebut API key hanya bisa dibuat dan dihapus lewat website, tidak ada opsi di aplikasi (How to Create Your API Key, How to Delete Your API Key).
• 48 jam untuk akun baru: pengguna baru bisa dibatasi membuat API key selama 48 jam pertama demi kontrol risiko. Contoh Bybit: daftar pukul 10:00 UTC tanggal 12 Mei, key bisa dibuat mulai 10:00 UTC tanggal 14 Mei.
• IP Amerika Serikat dan Tiongkok daratan ditolak: panduan integrasi menyebut request dari IP di AS atau Tiongkok daratan akan mendapat 403 Forbidden (Integration Guidance). Pilih lokasi server dengan memperhatikan hal ini.
• Situs regional memakai domain sendiri: akun internasional memakai api.bybit.com atau api.bytick.com; akun yang terdaftar di situs Turki, Kazakhstan, Georgia, UEA, EEA, Indonesia, Jepang atau Hong Kong harus memakai domain API masing-masing.

Tentukan juga jenis key. Bybit menyediakan key buatan sistem (HMAC), di mana Bybit menerbitkan key dan secret, serta key buatan sendiri (RSA), di mana Anda membuat pasangan kunci di komputer sendiri dengan RSA key generator resmi (2048 atau 4096 bit) dan hanya memberikan public key ke Bybit, sehingga private key tidak pernah keluar dari komputer Anda (panduan RSA resmi). Untuk keduanya saran Bybit sama: perlakukan key seperti password.

Membuat key dan memilih izin

1. Login di website Bybit, klik ikon profil di kanan atas lalu pilih API untuk membuka API Management (atau langsung ke bybit.com/app/user/api-management).
2. Klik Create New Key.
3. Pilih buatan sistem atau buatan sendiri, beri nama, lalu atur read/write, fungsi yang diizinkan dan IP yang diikat.
4. Masukkan kode Google Authenticator lalu kirim.

Simpan secret saat pertama kali ditampilkan: dokumentasi API menyebut secret tidak bisa diambil lagi lewat API. Kelompok izin yang tercantum di dokumentasi resmi:

Sumber: Get API Key Information, Modify Master API Key. Subakun bisa punya key sendiri, dibuat oleh key akun utama lewat endpoint resmi dengan pilihan izin yang sama. Satu strategi per subakun membuat limit dan risiko terpisah.

Withdraw adalah izin paling berbahaya pada sebuah key. Jika tidak diaktifkan, key yang bocor tidak bisa dipakai untuk memindahkan aset Anda keluar; logika yang sama berlaku untuk izin transfer yang tidak dibutuhkan.

Pengikatan IP dan masa berlaku key

Saat membuat key Anda bisa mengisi IP yang diizinkan, dipisahkan koma; dikosongkan atau diisi * berarti tidak diikat. Dokumentasi resmi menyebut dua aturan masa berlaku (Create Sub UID API Key):

• Key tanpa IP terikat menjadi tidak valid setelah 90 hari.
• Setelah password akun diganti, key tanpa IP terikat menjadi tidak valid 7 hari kemudian.

Endpoint informasi key mengembalikan deadlineDay (sisa hari) dan expiredAt (tanggal kedaluwarsa), yang menurut Bybit hanya berlaku untuk key tanpa IP terikat atau yang passwordnya sudah diganti. Praktiknya: jalankan strategi di server cloud dengan IP keluar tetap dan ikat IP itu; jika memakai koneksi rumah dengan IP berubah-ubah, rencanakan pembuatan ulang key secara berkala. Jika semua request tiba-tiba gagal autentikasi, cek dulu apakah key sudah kedaluwarsa sebelum membongkar kode.

Rate limit: lapisan IP dan lapisan UID

Bybit menerapkan dua lapis batas (Rate Limit Rules, diverifikasi 2026-09-28):

• Lapisan IP: secara default tiap IP boleh mengirim 600 request HTTP dalam jendela 5 detik, untuk api.bybit.com dan domain regional. Jika terlewati muncul "403, access too frequent"; Bybit meminta semua sesi HTTP dihentikan dan menunggu minimal 10 menit, setelah itu blokir lepas otomatis. Bybit juga menyarankan agar tidak berjalan tepat di batas.
• Lapisan UID: jendela bergulir per detik per UID, dengan jatah tersendiri untuk tiap endpoint. Jika terlewati muncul retCode 10006, "Too many visits!". Setiap respons membawa X-Bapi-Limit (batas saat ini), X-Bapi-Limit-Status (sisa) dan X-Bapi-Limit-Reset-Timestamp (waktu reset), sehingga kode bisa memperlambat diri.

Karena jatah melekat pada UID, beberapa program di bawah satu UID berbagi jatah endpoint yang sama; jika strateginya banyak, memisahkannya ke subakun berbeda mencegah saling menghambat. Endpoint umum (Unified Trading Account):

Detail yang mudah terlewat:

• Endpoint batch punya jatah sendiri: endpoint batch dan order tunggal tidak berbagi batas; tiap batch berisi 1 sampai 10 order dan memakai satu unit per order (batch berisi 5 memakai 5). Order yang melebihi sisa jatah pada detik itu gagal, sisanya tetap berjalan.
• Batas order terbuka: perpetual dan futures maksimal 500 order aktif dan 10 order kondisional per simbol; spot maksimal 500 order per akun, termasuk maksimal 30 order TP/SL dan 30 order kondisional per simbol; opsi default 50 order terbuka per koin (Place Order).
• Total order harian dipantau: jika total order akun utama dan semua subakun dalam satu hari UTC melewati batas tertentu, Bybit berhak mengingatkan, memperingatkan dan membatasi, dan pengguna API dianggap menyetujuinya.
• Batas bisa dinaikkan: endpoint order ditandai bisa di-upgrade; hubungi client manager atau ajukan permohonan.
• Jaga jam tetap akurat: recv_window default 5.000 ms dan timestamp harus berada antara waktu server dikurangi recv_window hingga waktu server ditambah 1 detik; Bybit menyarankan host selalu tersinkron NTP.

WebSocket: data pasar, stream privat dan order via WS

WebSocket Bybit terdiri dari tiga bagian: data pasar publik (URL terpisah untuk spot, kontrak USDT/USDC, inverse dan opsi), stream privat (/v5/private untuk order, eksekusi, posisi dan wallet), serta order via WS (/v5/trade, tidak mendukung spread trading dan Demo Trading). Aturan koneksinya (WebSocket Connect):

• Jangan membuka lebih dari 500 koneksi dalam 5 menit per domain, dan jangan sering putus-sambung.
• Maksimal 1.000 koneksi data pasar per IP, dihitung terpisah untuk spot, linear, inverse dan opsi.
• Kirim ping setiap 20 detik; tanpa ping dan tanpa data, koneksi diputus setelah 10 menit. Koneksi privat dan order via WS bisa mengatur max_active_time antara 30 detik dan 10 menit.
• Spot maksimal 10 args per request langganan, dan satu koneksi publik tidak boleh melebihi 21.000 karakter args.

Pola yang umum: terima harga dan status order lewat WebSocket, dan gunakan REST untuk memasang order dan rekonsiliasi berkala, supaya polling tidak menghabiskan jatah REST.

Uji dulu di Demo Trading atau Testnet

Bybit punya dua lingkungan uji, dan FAQ-nya menjelaskan perbedaannya (FAQ — Demo Trading, koin uji Testnet, Demo Trading API):

Patokannya: untuk melihat reaksi strategi terhadap harga nyata, pakai Demo Trading; untuk menguji fitur non-trading seperti transfer, Bybit mengarahkan ke Testnet. Dua hal penting: key demo dibuat terpisah di dalam mode Demo Trading, dan harus terhubung ke api-demo.bybit.com, bukan mainnet; WebSocket demo hanya membawa stream privat (wss://stream-demo.bybit.com), sedangkan data publik diambil dari stream.bybit.com mainnet. Bybit juga mengingatkan agar tidak menyetor dana nyata ke akun Testnet karena tidak bisa dikembalikan.

Contoh minimal membaca saldo unified account dengan key demo. Sesuai dokumentasi, request GET menandatangani timestamp + API key + recv_window + query string dengan HMAC-SHA256, hasilnya hex huruf kecil. Key diambil dari environment variable, bukan ditulis di kode:

import hashlib, hmac, os, time, requests

API_KEY = os.environ["BYBIT_DEMO_KEY"]        # demo key, read-only is enough
API_SECRET = os.environ["BYBIT_DEMO_SECRET"]
BASE = "https://api-demo.bybit.com"
RECV_WINDOW = "5000"

query = "accountType=UNIFIED"
ts = str(int(time.time() * 1000))
payload = ts + API_KEY + RECV_WINDOW + query
sign = hmac.new(API_SECRET.encode(), payload.encode(), hashlib.sha256).hexdigest()

r = requests.get(f"{BASE}/v5/account/wallet-balance?{query}", headers={
    "X-BAPI-API-KEY": API_KEY,
    "X-BAPI-TIMESTAMP": ts,
    "X-BAPI-RECV-WINDOW": RECV_WINDOW,
    "X-BAPI-SIGN": sign,
})
print(r.json()["retCode"], r.headers.get("X-Bapi-Limit-Status"))

Setelah berjalan, ganti domain ke api.bybit.com dan pakai key mainnet. Akun demo juga bisa diisi ulang lewat API (/v5/account/demo-apply-money, sekali per menit).

Biaya dan rebate untuk order API

Biaya: jadwal biaya Bybit ditentukan oleh level VIP dan tidak mencantumkan tarif API tersendiri. VIP0 adalah 0,02% maker / 0,055% taker di kontrak dan 0,1% / 0,1% di spot. Jadwal Pro1 sampai Pro6 mensyaratkan, selain volume, porsi trading API di atas 20%; namun aturan VIP menyebut "The Pro status does not apply to Affiliate and Referral users, even if their API trading volume exceeds 20%", jadi pengguna yang terikat kode referral membayar biaya level VIP meskipun trading terutama lewat API. Ambang lengkap ada di level VIP dan tier Pro Bybit. Cek tarif Anda dengan /v5/account/fee-rate.

Rebate: FAQ Program Afiliasi Bybit (teks resmi, diperbarui 2026-09-19) menyebut dasar komisi adalah biaya trading dikurangi rebate market maker dikurangi bonus dan kupon, dan pengguna yang menerima rebate, diskon atau insentif dari program Bybit lain mungkin tidak dihitung dalam komisi afiliasi. Ketentuan tidak mengecualikan order API, tapi juga tidak menyebutnya, jadi apakah biaya dari API dihitung ditentukan oleh rincian penyelesaian; akun yang ikut program market maker Bybit sebaiknya cek dulu. FAQ yang sama menyebut hubungan referral bisa diakhiri jika pengguna tidak bertransaksi 180 hari berturut-turut, penting untuk strategi yang lama berhenti.

Rebate Bybit dari Quant Nova adalah 30% di Lv.1 untuk pengguna baru, 35% di SVIP (bisa dicapai lewat volume), dan hingga 40% di level Supernova yang berbasis undangan. Pada ukuran quant yang umum: volume futures 5 juta USDT per bulan, semua taker, berarti biaya sekitar 2.750 USDT, sudah mencapai Lv.5 (biaya 2.500 USDT dalam 30 hari) dengan 34%, atau sekitar 935 USDT kembali tiap bulan; kode umum 20% hanya mengembalikan 550 USDT. Lihat panduan rebate biaya Bybit, menambahkan kode referral dalam 14 hari setelah daftar, dan rebate biaya untuk trader quant.

Jika Anda sudah VIP di exchange lain atau bertransaksi dalam volume besar, hubungi support Quant Nova: kami bekerja langsung dengan tim resmi exchange untuk membantu Anda mendapatkan manfaat seperti uji coba level VIP, tergantung persetujuan exchange.

Keamanan: key bocor, bot pihak ketiga dan penipuan kelola akun

• Satu key per kegunaan: key terpisah untuk strategi sendiri, tiap bot pihak ketiga dan alat pencatatan, masing-masing hanya dengan izin yang dibutuhkan, agar Anda cukup menghapus satu key yang bermasalah.
• Platform pihak ketiga hanya dapat izin trading: tanpa penarikan, ikat IP keluar yang mereka umumkan jika ada, dan hapus key begitu layanan tidak dipakai.
• Jauhkan key dari version control: simpan di environment variable atau secrets manager, jangan di kode, tangkapan layar atau grup chat.
• Periksa berkala: cek API Management untuk key yang tidak dikenal, atau gunakan endpoint informasi key untuk melihat izin dan IP tiap key.

Jangan pernah menyerahkan API key kepada siapa pun yang menawarkan jasa trading atas nama Anda atau menjanjikan keuntungan, apalagi key dengan izin penarikan. Komisi Pengawas Keuangan Taiwan (FSC) dalam siaran pers 22 September 2025 memperingatkan bahwa penipu memikat orang ke aset virtual dengan janji "pasti untung, risiko rendah", lalu meminta biaya pencairan, jaminan atau pajak sebelum membayar (siaran pers FSC).

Untuk pengguna di Taiwan: Bybit tidak ada dalam daftar FSC untuk penyedia layanan aset virtual yang telah menyelesaikan registrasi AML (daftar diperbarui 2026-09-03); lihat penjelasan registrasi VASP Taiwan.

Pertanyaan umum

Bisakah membuat API key Bybit di aplikasi?

Tidak. Help Center menyebut API key hanya bisa dibuat dan dihapus lewat website, dan akun baru mungkin tidak bisa membuatnya selama 48 jam pertama.

Berapa lama API key Bybit tanpa IP berlaku?

90 hari. Setelah password diganti, key tanpa IP berhenti berfungsi 7 hari kemudian. Kolom deadlineDay pada endpoint informasi key menunjukkan sisa harinya.

Apa arti error 10006 dan 403?

10006, "Too many visits!", adalah batas endpoint per UID; perlambat endpoint tersebut. 403, "access too frequent", berarti IP melewati 600 request dalam 5 detik; tutup semua koneksi dan tunggu minimal 10 menit.

Bisakah memakai key mainnet di Demo Trading?

Tidak. Demo Trading adalah akun terpisah dengan UID sendiri; buat key di dalam mode demo dan hubungkan ke api-demo.bybit.com.

Apakah order API tetap mendapat rebate?

Ketentuan afiliasi Bybit tidak mengecualikan maupun menyebut order API, jadi rincian penyelesaian yang menentukan. Perhatikan bahwa pengguna yang terikat referral tidak mendapat biaya Pro, dan akun dalam program insentif Bybit lain seperti market maker mungkin tidak dihitung dalam komisi afiliasi.

Apakah harus memberikan API key ke Quant Nova untuk mengikat rebate?

Tidak. Pengikatan hanya butuh UID, tidak pernah API key, password atau izin penarikan.

Bacaan lanjutan

• Panduan rebate biaya Bybit
• Level VIP, Supreme dan Pro Bybit
• Rebate biaya untuk trader quant
• Panduan setup API Bitget
• Setup trading API Binance

Rate limit, izin dan aturan lingkungan uji diambil dari dokumentasi resmi Bybit V5 API dan Help Center, diverifikasi 2026-09-28; Bybit bisa mengubahnya, dan dokumentasi resmi yang berlaku. Kode hanya contoh; uji dulu sebelum trading nyata. Persentase rebate ditetapkan oleh exchange dan platform serta dapat berubah. Hanya untuk informasi, bukan saran investasi.

Data diverifikasi: 2026-09-28