谁需要读这篇
- 要用交易机器人、自定义看板、导出工具
- 被要求「绑定 API 跟单」
- 想知道 不该开哪些权限
纯 App 点选交易的用户：可以收藏，但 默认不要创建 API。
| 文档 | 用途 |
|---|---|
| 本文 | 币安 API 权限、白名单、应急时间线 |
| OKX API 安全 | OKX 对照 |
| 安全清单 | 总安全 |
| 设备安全 | 会话 |
| 假 App | 客户端被黑则 API 也危险 |
| 密码与 2FA | 登录层 |
API Key 是什么（人话）
一串让 程序 以你的名义读取或下单的凭证。
它不是登录密码，但 权限过大时杀伤力不亚于盗号。
| 对比 | 登录密码 + 2FA | API Key |
|---|---|---|
| 谁用 | 人在 App/网页 | 程序/脚本 |
| 常见攻击 | 钓鱼、假客服要码 | 源码泄露、木马、乱授权 |
| 你可做的 | 强密码、验证器 | 最小权限 + IP 限制 + 常巡检 |
创建前三问
- 我是否真的需要程序访问账户？
- 若密钥被抄走，最坏能做什么？（应：不能提现）
- 运行环境是否干净？（个人电脑恶意软件会偷 Key）
答不上来 → 不要创建。
场景 → 权限怎么选（示意）
界面勾选项名称以币安实时为准；下表是决策逻辑，不是官方菜单原文。
| 你的用途 | 更合理的权限组合 | 不要开 |
|---|---|---|
| 只拉行情/自己做表 | 只读 | 交易、提现 |
| 本机脚本自动限价 | 现货或合约交易（按需）+ IP 白名单 | 提现、多余业务线 |
| 官方/可信终端 | 文档要求的最小集 | 「全选方便」 |
| 陌生人跟单/套利站 | 默认拒绝 | 任何写权限 |
| 已不用的旧机器人 | 删除 Key | 长期挂着 |
一句话：能不给交易就不给；能不给提现就绝不给。
最小权限原则（再强调）
| 权限类型（示意） | 新手建议 |
|---|---|
| 只读 | 仅看行情/仓位统计时可用 |
| 现货/合约交易 | 仅当机器人必须下单 |
| 提现 | 默认关闭 |
| 万能/过大权限包 | 拒绝 |
推荐创建步骤（通用）
- 先完成登录安全：2FA、防钓鱼码、设备干净
- 打开 API 管理 → 创建 → 备注写清「用途 + 日期」
- 只勾选当前需要的权限
- 关闭提现（若有单独开关）
- 绑定 IP 白名单
- 复制 API Key / Secret，Secret 只显示一次 → 立刻进安全存储
- 用 小资金账户或小额度 先跑 24 小时观察成交
- 每周打开列表：删掉不用的 Key
若你还在 注册后第一周，不建议本周就开第三方交易 API。
IP 白名单（强烈建议）
| 状态 | 风险 |
|---|---|
| 已设固定 IP | 密钥泄露后，攻击面收窄到该 IP |
| 未设白名单 | 全球任意网络 theoretically 可调用（仍受 Key 保密性约束，但失败代价高） |
| 家庭 IP 常变 | 维护成本上升；优先固定出口，而不是关白名单 |
补充：
- 不要把服务器 IP 发到公开群
- 更换宽带后，登录网页更新白名单，否则机器人会报错——这是预期行为，不是「该关掉限制」
密钥保存对错表
| 做法 | 评价 |
|---|---|
| 明文发到微信/邮箱/Telegram | 极危 |
| 截图存在手机相册（常云同步） | 高危 |
| 提交到 GitHub/网盘公开目录 | 经典事故 |
| 给「老师」「客服」「代配置」 | 按诈骗处理 |
| 环境变量 / 加密保管 / 本机权限收紧 | 相对稳 |
| 一人一 Key、一用途一 Key | 便于轮换与追责 |
Secret 只显示一次时，立刻存入安全位置，丢失就删建，不要「猜」或找客服要回 Secret。
与机器人/第三方：授权红线
绑定前强制问答：
- 是否必须？官方是否已有类似功能？
- 对方要的权限是否含提现？含 → 拒绝
- 是否可仅小资金验证？
- 是否可随时在币安删除 Key 立刻失效？
- 对方是否要求关闭 IP 白名单「才能用」？要求 → 高危
教学例：恶意交易不提现也能重创
即使 不能提现：
- 可把你保证金打进极端杠杆仓位
- 可高频刷手续费
- 可打乱你的风控与睡眠
所以「关掉提现 = 绝对安全」是幻觉。见 风控规则 · 何时不做合约
创建后检查清单
- 无提现权限
- 已设 IP 白名单（尽可能）
- 备注写清用途与创建日
- Secret 未进聊天工具
- 不用的旧 Key 已删除
- 2FA 与登录安全已加固
- 小资金验证机器人行为
- 未向陌生人分享 Key
泄露 / 异常：30 分钟应急时间线
| 时间 | 动作 |
|---|---|
| 0–5 分钟 | 删除可疑 API；停止本地机器人进程 |
| 5–15 分钟 | 查订单、持仓、提现记录；市价/按计划减掉异常仓 |
| 15–25 分钟 | 改密码；检查 2FA；下线陌生设备 |
| 25–40 分钟 | 删除一切不认识的 Key；查邮箱转发规则 |
| 之后 | 大额按 提现白名单 与正确网络转移；仅官方站内工单 |
不要： 先「再观察一晚」；把新 Key 发给同一「帮你处理」的人。
巡检节奏（写进日历）
| 频率 | 动作 |
|---|---|
| 每周 | 打开 API 列表，删停用 |
| 每次换电脑/重装系统 | 假设可能泄露，轮换 Key |
| 每次绑定新机器人 | 新建专用 Key，不要复用 |
| 安全事件后 | 全量轮换 |
常见误区
- 只读 Key 绝对安全 → 仍可能暴露持仓与策略隐私
- 关掉提现就随便给陌生人 → 恶意交易可让你爆仓
- 一个 Key 给所有机器人共用 → 难追责、难轮换
- 手机 Root/越狱跑密钥 → 扩大攻击面
- 邮件里的「API 异常请点链接」 → 钓鱼
- 为省事关闭 IP 白名单 → 用固定出口替代图方便
- Secret 截图发到群里「帮看看报错」 → 等于公开
下一步
API 规则与权限项以币安官方文档为准。本文不构成投资建议；授权第三方风险自担。