幣安 API Key 是一對由 64 位 public key 與 64 位 secret key 組成的金鑰對，用於量化策略、跨所套利、行情訂閱等自動化場景。保管的核心原則是許可權最小化、IP 白名單強制開啟、金鑰從不明文儲存。新使用者可登入幣安官網在賬戶選單下找到「API 管理」入口，移動端透過幣安官方APP的「更多 - API 管理」建立，首次在新 iOS 裝置上使用請先參考iOS安裝教程完成裝置啟用。首段直接回答：最關鍵的許可權是提幣（Withdraw）許可權，99% 的個人使用者不需要勾選，僅保留 Read 與 Trade 即可，配合 IP 白名單可將 API 被盜後的損失降到接近於零。
一、API Key 的組成與簽名機制
第 1 步：理解金鑰對
每個 API Key 由一對 Base64 字串組成：public key 用於請求頭標識身份，secret key 用於本地生成簽名。幣安伺服器僅儲存 public key 與對應許可權，絕不儲存 secret key，所以一旦忘記 secret key 只能重新建立。
第 2 步：HMAC-SHA256 簽名
每次呼叫私有介面時，客戶端需要把請求引數按字典序排序並拼成 querystring，以 secret key 為金鑰做 HMAC-SHA256 計算，得到一段 64 字元的 hex 簽名。伺服器用同樣的方式再算一次，對比後才放行。這種機制避免了金鑰直接上網。
第 3 步：時間視窗
請求必須帶上 timestamp 引數，預設允許 5000 毫秒偏差，可調至 最多 60000 毫秒。視窗過寬會讓重放攻擊有機可乘，因此建議保持預設值，並在本地同步 NTP 時間。
二、三類許可權的區別與建議開啟策略
幣安 API 許可權按風險遞增分為三檔，使用者可以按需勾選：
- Read（只讀）：可查詢賬戶資產、歷史成交、當前掛單。即便洩露也只是資訊外流，不會導致資金損失。所有機器人、看板、稅務軟體幾乎只需要這一項。
- Trade（交易）：可下單、撤單、市價轉現貨合約。洩露後攻擊者可透過拉盤砸盤給關聯賬戶讓利，存在間接損失，但資金仍在交易所內。
- Withdraw（提幣）：可直接把資產提到鏈上地址。一旦洩露資產秒級歸零，強烈不建議在普通量化指令碼中開啟。
此外還有兩個細分開關：Universal Transfer 控制現貨到合約的內部劃轉，Margin 控制槓桿賬戶。若僅做現貨策略，可全部保持預設關閉。
建立 API Key 的路徑是：賬戶中心 → API 管理 → 建立 API → 輸入 Key 名稱（例如「grid-bot-btc」）→ 勾選許可權 → 輸入 IP 白名單 → 郵箱和 2FA 雙重驗證。建立後 secret key 只顯示一次，務必立刻儲存到離線密碼管理器。
三、IP 白名單與金鑰輪換策略
下表給出了不同型別使用者的推薦配置：
| 使用者型別 | Read | Trade | Withdraw | IP 白名單 | 輪換週期 |
|---|---|---|---|---|---|
| 純看板使用者 | 開 | 關 | 關 | 必須 1 條 | 180 天 |
| 網格機器人 | 開 | 開 | 關 | 必須 1 條 | 90 天 |
| 做市商 | 開 | 開 | 關 | 必須 1 - 3 條 | 60 天 |
| 跨所套利 | 開 | 開 | 關 | 必須 2 條 | 60 天 |
| 企業託管結算 | 開 | 開 | 可選開 | 必須 1 條 + 雙人審批 | 30 天 |
| 一次性指令碼 | 開 | 開 | 關 | 必須 1 條 | 使用後立刻刪除 |
需要重點強調：IP 白名單不啟用的 API Key，一旦洩露資產損失幾乎不可挽回。即使只勾選了 Trade 許可權，攻擊者也能透過對敲方式讓賬戶資產縮水。啟用 IP 白名單後，幣安伺服器會在每個請求處核對來源 IP，只有列表內的地址才被放行。
金鑰輪換的意義在於：即便某個時刻金鑰意外洩露（例如誤提交到 GitHub、日誌檔案被備份），90 天后金鑰自動失效，攻擊者無法長期利用。輪換時應先建立新 key、更新所有指令碼、再刪除舊 key，中間避免有同時兩個可用 key 的情況。
四、典型場景與風險例項
場景一：量化新手誤提交程式碼到公開倉庫。GitHub 的秘鑰掃描機器人可能在幾分鐘內發現明文 key，隨後攻擊者使用自動化指令碼接管賬戶。正確做法：將 secret key 放入環境變數或 .env 檔案，並在 .gitignore 中排除該檔案。
場景二：雲伺服器被入侵。沒有 IP 白名單的 key 會被攻擊者從伺服器配置檔案中直接提取，然後在全球任意 IP 發起交易。啟用 IP 白名單後，即便 key 外洩，攻擊者從非白名單 IP 發起請求也會被拒絕。
場景三：釣魚網頁誘導。部分第三方交易平臺要求使用者貼上 API Key 接入，若對方偽造介面上傳到自己伺服器，你的 key 將被記錄。絕不在陌生第三方貼上 secret key，任何合規工具都支援 OAuth 或交易所官方授權。
場景四：內部員工洩露。企業託管場景下可能需要多人操作，建議使用子賬戶 + 獨立 API Key隔離許可權，並啟用訪問日誌審計。每位員工離職或轉崗時立刻回收對應 key。
風險彙總：64 位 secret key 一旦離開本地，就應視為洩露。任何螢幕錄製、雲同步、聊天截圖都可能造成意外暴露，保管過程中要同時警惕電子和物理兩種洩露途徑。
五、FAQ 常見問題
問：API Key 可以同時多個程式共用嗎？ 答：技術上可以，但不推薦。不同程式共用一把 key 會讓日誌難以追蹤，建議每個策略、每臺機器單獨建立 key，便於定位異常行為。
問：IP 白名單隻能填固定 IP 嗎？ 答：是的，必須是公網固定 IP。若使用動態 IP 的家庭寬頻，需要配合 VPS 或 DDNS 固定出口。一般 IP 白名單最多支援 20 條，可覆蓋多地伺服器。
問：忘記了 secret key 怎麼辦？ 答：secret key 只在建立時顯示一次，無法找回。只能刪除舊 key 重新建立，原來的所有指令碼需要更新配置。這是與普通密碼的本質區別。
問：API Key 預設有效期是多久？ 答：預設無限期，但幣安會在 90 天內無活動時提示使用者手動延期。建議主動在 90 天輪換，不要依賴自動過期。
問：API Key 洩露後第一時間該做什麼？ 答：立刻登入賬戶 API 管理頁刪除該 key、啟用白名單阻斷一切提幣、重置登入密碼與 2FA、檢查最近的交易歷史是否有異常下單，必要時提交客服申訴。