Norluno
搜索
中文

账户安全

币安 API 密钥权限怎么设：为什么只能勾读取、提现权限必须绑 IP

第三方工具索要币安 API 密钥时，真正决定风险的是你勾了哪几项权限、有没有绑定 IP。本文逐项解释 API 管理页上的九个权限选项，说明无 IP 限制的 HMAC 密钥为什么只剩读取权限、提现权限为什么必须填 IPv4，以及密钥可能泄露时的处理顺序。

N
Norluno 编辑部
· 17 分钟阅读
币安 API 密钥权限怎么设：为什么只能勾读取、提现权限必须绑 IP

有人发来一个「量化机器人」「自动套利工具」「跟单助手」，说不用转币，只要你在币安后台生成一把 API 密钥贴给他就行——听起来资金还在自己账户里，很安全。真正决定安全与否的，是你在生成密钥那一页勾了哪几个权限、有没有填 IP。这篇把币安 API 管理页上的每一项权限说清楚，解释为什么很多人发现除了「读取」之外什么都勾不动，以及第三方索要密钥时该怎么判断。

本文只讲密钥权限与安全设置，不涉及写代码调用接口。所有规则取自币安帮助中心的公开页面，查询日期为 2026 年 10 月 15 日，页面另有更新时请以你看到的版本为准。

先分清三种容易搞混的「密钥」

  • API 密钥（API Key）：一串公开标识，告诉币安「是哪把钥匙在请求」。
  • 加密密钥 / 私钥（Secret Key、Private Key）：真正的签名凭证。系统生成的 HMAC 类型会一次性给你 API 密钥 + 加密密钥两串；自行生成的 Ed25519 或 RSA 类型则由你在自己电脑上生成公私钥对，只把公钥交给币安，私钥永远不离开你本机。
  • 通行密钥（Passkey）：登录和提现时用的生物识别凭证，和 API 完全是两回事。这一项的设置方式在通行密钥怎么设置、丢了设备怎么办里单独讲过。

第三方要走的通常是前两串。官方「API 常见问题」页写得很直接：加密密钥只有在创建 API 密钥时才可见，之后将被屏蔽；若密钥丢失或未记录，只能重新创建一把新的。所以一旦贴给别人，你没有「撤回」这个动作，只能删掉整把密钥。

创建之前，账户要先满足三个条件

币安帮助中心《如何在币安创建 API 密钥》（页面标注最后更新 2025 年 3 月 20 日）列出的前置条件是：

  1. 账户已启用双重身份验证（2FA）；
  2. 向现货钱包充值任意金额以激活账户；
  3. 已完成身份认证。

API 管理页面上还有四条提示，其中两条经常被忽略：每个账户最多创建 30 把 API 密钥；未完成 KYC 就无法创建 API 密钥。

币安 App 的 API 管理页面，页面顶部有创建 API、创建税务报表 API、删除所有 API 三个按钮，下方列出四条规则：每个账户最多 30 把密钥、不要向任何人泄露密钥、建议仅限受信任 IP 访问、未完成 KYC 无法创建密钥，再下方是默认安全控制措施的勾选框

图：币安帮助中心页面内的官方 App 端示意图。官方中文页里嵌的界面截图是英文版，本文把选项名按英文原文列出，你的账户里可能显示对应中文译名。

如果卡在第 3 条，先把材料准备齐：身份认证要交哪些材料一文按身份证明、地址证明、资产来源三层拆过清单和审核时长。

创建过程中还会用 2FA 设备或通行密钥做一次验证，这一步无法跳过——也就是说，任何声称「不用你本人操作、代你生成 API」的人，都在要求你把 2FA 一起交出去。

权限清单：九个选项分别意味着什么

生成密钥后，权限在 API 管理页的「API restrictions」区域勾选。官方页面截图里的九项是：

币安网页端 API 管理页面的权限区域截图，API restrictions 下九个选项分三列排列，仅 Enable Reading 为已勾选的灰色状态，下方红框内是 IP access restrictions 两个单选项与红色警告文字

图：官方帮助页中的网页端权限面板，密钥字符由币安自行打码，红框内即 IP 访问限制的两个选项。手机上这张看不清的话，下一节有同一组权限在 App 端的大图。

  • Enable Reading（允许读取）：读行情、读账户余额和历史。默认勾选，风险最低，但也意味着对方能完整看到你的持仓。
  • Enable Spot & Margin Trading（现货与杠杆交易）：可以用你的资金下单。钱不出账户，却能通过反复买卖把余额消耗掉，是「代客理财」类骗局最常用的一项。
  • Enable Margin Loan, Repay & Transfer（杠杆借贷、还款与划转）：涉及借款，等于让对方替你背负债务。
  • Enable Futures（合约交易）：高杠杆下单权限。
  • Enable Internal Transfer（内部转账）：币安站内转账能力。
  • Permits Universal Transfer（万能划转）：在你账户的不同钱包之间划转资金，具体可划转范围以官方 API 文档为准。
  • Enable Withdrawals（提现）：把币转出到链上地址，风险最高的一项。
  • Enable European Options（欧式期权）。
  • Enable Symbol Whitelist（交易对白名单）：按名称是把这把密钥可交易的交易对限定在指定名单内，属于收紧用的选项。

上面的中文解释按选项名称对应，币安帮助页并没有逐项给出定义，具体行为以官方 API 文档和你账户内的说明为准。

挑权限的原则很简单：第三方工具要什么，就只开什么。看盘、记账、报税类工具只需要读取；真要让程序下单，开现货交易即可，没有任何正当理由需要提现权限。

为什么除了「读取」之外什么都勾不动

这是 API 管理页最常见的困惑，官方 FAQ 给的答复是：强烈建议不要在未定义适当 IP 访问限制的情况下为 API 密钥启用除读取之外的其他权限（即「无 IP 访问限制的 API 密钥」）。无 IP 访问限制的 HMAC API 密钥除读取权限之外没有任何权限。

想启用其他权限，官方给了三条路：添加 IP 访问（IPv4 格式）限制、改用自行生成的密钥（Ed25519 或 RSA），或者禁用默认安全控制措施。页面上那个默认勾选的黄色提示框写的就是这件事：勾选后，主账户和子账户上所有现有 API 密钥都将受默认安全控制约束。

比「勾不动」更要紧的是红框里的后果说明——如果 IP 不受限制且启用了读取以外的任何权限，这把 API 密钥将被删除。换句话说，绕开限制把权限强开上去，密钥可能某天突然消失，你的程序会直接断掉。

币安 App 的 API 权限设置界面，API restrictions 下方依次是 Enable Reading、Enable Spot & Margin Trading、Enable Margin Loan Repay & Transfer、Enable Futures、Enable Internal Transfer、Permits Universal Transfer、Enable Withdrawals、Enable Symbol Whitelist，下方 IP access restrictions 的红字警告与红框标出的仅限受信任 IP 选项

图：同一组权限在 App 端的样子（这张官方示意图里没有欧式期权一项），红框标出的是官方推荐的「仅允许受信任的 IP 访问」。

还有两条限制也会让权限灰掉：

  • 提现权限：要启用提现权限，必须添加 IP 访问（IPv4 格式）限制，没有例外。
  • 合约权限：如果 API 密钥在你启用合约账户之前创建，或者你已经开通统一账户，这把密钥就无法启用合约交易权限——解决办法是先开合约账户，再重新建一把。

另外，自 2023 年 1 月 30 日 00:00（UTC）起，只有你的 IP 地址在非受限地区时，才能把系统生成的 API 密钥权限设置为「允许读取」。

填 IP 的现实问题，以及它和提币白名单的区别

「仅允许受信任的 IP 访问」听起来简单，难点在于你得有一个固定的 IPv4。家庭宽带的公网 IP 多数会变，服务器或云主机才有固定地址。实际的选择是：

  • 机器人跑在云服务器上：填服务器的出口 IP，这是最合适的情形。
  • 机器人跑在自家电脑上：IP 一变，程序就会报错，需要回后台改。
  • IP 不固定又非要开交易权限：这正是官方警告会删除密钥的那种配置，不建议。

要注意 IP 限制和提币白名单是两套独立机制：IP 限制管的是「哪台机器可以用这把密钥」，白名单管的是「资金可以提到哪些地址」。两者叠加才构成完整的提现防线，白名单的开启方式和生效等待时间见提币白名单怎么开、新增地址要等多久。

第三方索要密钥时的四个判断

币安《账户安全提示》里关于 API 的原话是：

币安帮助中心账户安全提示页面「保护访问权限」一节的截图，第三条写明妥善保管 API 密钥就像保护密码一样，切勿分享给第三方，删除所有未使用或不必要的 API 访问权限，不确定用途就不要添加

图：币安帮助中心《币安账户安全提示》页面中的「保护访问权限」一节。

「API 常见问题」页也写着：在任何第三方平台输入你的币安 API 密钥或加密密钥都存在安全风险，你需要自行判断是否使用这些服务；币安不为第三方服务或工具提供支持。

按这四个问题过一遍：

  1. 对方要的权限里有没有提现？有就直接停。
  2. 对方要不要你的加密密钥？正规工具会让你把密钥贴进自己的程序或账户后台，而不是通过聊天工具发给某个人。
  3. 能不能限定 IP？对方给不出固定 IP，或者要求你选「不受限制」，说明对方的架构本身就不接受约束。
  4. 承诺的收益从哪来？只要出现保本、固定日收益、带你回本这类说法，无论权限怎么设都不必往下谈——这类话术和假客服、假空投是同一套路，反钓鱼码怎么设置、收到邮件时如何核对真伪里讲过怎么验证一封币安邮件的真伪。

密钥可能泄露了，先做这几件事

  1. 到 API 管理页删掉那把密钥。删除是即时生效的，比逐项取消权限更干脆。
  2. 检查还有没有别的密钥是你不认得的，顺手把长期不用的一起删掉——官方的建议就是删除所有未使用或不必要的 API 访问权限。
  3. 如果已经出现了不是你下的订单或不认识的转账，按账户被盗处理：先禁用账户，再按顺序改密码、清设备，完整顺序见账户被盗怎么办：先禁用账户，再按顺序改密码和清设备。

这里有个容易被忽略的连带效果：官方「API 常见问题」页在解释「我的 API 密钥消失了」时写明，如果你选择禁用账户，所有活动的 API 密钥都会被删除。也就是说，紧急禁用账户这一步本身就会切断所有 API 访问——对正在被滥用的密钥来说是好事，但也意味着你事后要重新配置所有自动化工具。同一页还给出了密钥消失的另一个原因：2018 年 3 月 7 日前使用过、近期又无活动的 API 密钥，出于账户安全考虑可能已被清除。

真要跑机器人，还有两件事得先知道

一是限频。官方「API 常见问题」页（标注最后更新 2025 年 1 月 13 日）列出三类限制：硬性限制、机器学习限制和 WAF 限制。硬性限制部分写的是每分钟 6,000 次请求权重，超出会封 IP；订单数的数字在同一页里前后不一致——概述一栏写「100 笔订单/10 秒、20 万笔订单/24 小时」，下一节解释后果时却写成「每 10 秒钟 10 次，每 24 小时 200,000 次」。英文版页面上也是同样的两种写法，所以不是中文翻译造成的出入。下单频率接近这个量级时，别照着帮助页的数字写死，以 /api/v3/exchangeInfo 返回的实际限制为准。

二是「被限制了能不能提前解除」。官方答复是不可以，必须等限制时间结束。机器学习限制的封禁时间从 5 分钟到 3 天不等，触发条件包括频繁挂撤单却很少成交、成交比例过低等；WAF 限制通常是 5 分钟，表现为 HTTP 403。写策略时把重试间隔放宽，比事后申诉有用得多。

速查

  • 创建前要有 2FA、已激活的现货钱包余额、完成的身份认证；每个账户最多 30 把密钥。
  • 加密密钥只在创建时显示一次，丢了只能重建。
  • 无 IP 限制的 HMAC 密钥只有读取权限；提现权限必须绑定 IPv4。
  • 无 IP 又强行开了读取以外的权限，密钥会被删除。
  • 第三方工具按最小权限给：看盘给读取，下单给现货交易，提现永远不给。
  • 怀疑泄露就删密钥；出现未授权操作先禁用账户，禁用会连带删除所有 API 密钥。

本文依据

本站与币安无隶属关系，以上规则随时可能调整，操作前请以你账户内显示的页面为准。如果你还没有币安账户，可以通过这个链接注册，邀请码 BNB608 会自动填入，注册页标示交易返现最高可达 20%，以页面当时显示为准；我们可能从中获得佣金。

账户安全 币安API密钥币安API权限币安API提现权限币安API IP限制API密钥安全

相关阅读