Read-Only API Key: Binance, Bybit, OKX at MT5
Ano ang kaya ng read-only API key at bakit ito ligtas: ang mga permission sa Binance, Bybit at OKX, ang investor password ng MT5, IP binding at mga leak.
Nakikita ng read-only API key ang balance, mga position at trade history mo, pero hindi ito makakapaglagay ng order, makakapag-transfer o makakapag-withdraw. Kaya puwede mo itong ibigay sa trading journal o tax tool: kahit manakaw pa ito, data ang mailalantad, hindi ang account. Sa ibaba: aling mga permission ang iiwan sa Binance, Bybit at OKX, ano ang ibinibigay ng MetaTrader 5 sa halip na key, kailan ibi-bind ang key sa isang IP address, at ano ang gagawin kapag na-leak ang key.
Ano ang kaya ng read-only na key
Ang API key ay isang pares ng string, ang key at ang secret. Gamit ang mga ito, nakakapasok ang isang program sa exchange account mo nang hindi kailangan ang password mo at ginagawa nito ang anumang pinapayagan ng mga permission ng key. Tatlo ang uri ng permission:
- Read. Mga balance, position, order at trade history.
- Trade. Maglagay, magbago at magkansela ng order para sa iyo.
- Withdraw at transfer. Maglabas ng pera mula sa account o maglipat sa pagitan ng mga account.
Ang key na kayang mag-trade ay nagbibigay na ng access sa pera mo. Kapag ninakaw ito mula sa isang serbisyo o sa computer mo, puwedeng mag-trade ang ibang tao sa account mo, at kung may karapatang mag-withdraw, kunin pa ang pondo. Diretsahang sinasabi ito ng Binance: security risk ang paglalagay ng mga key mo sa third-party platform.
Inaalis ng read-only na key ang risk na iyon. Pero naglalantad pa rin ito ng data: ang trade history mo at ang laki ng account mo. Ibigay lang ito sa mga serbisyong pinagkakatiwalaan mo, at bigyan ang bawat isa ng sariling key.
Aling mga permission ang iiwan: Binance, Bybit, OKX at MetaTrader 5
May sariling mga pangalan ang bawat platform. Sinusunod ng diagram ang mga help page at dokumentasyon ng mga exchange at ng MetaQuotes noong Oktubre 8, 2026. Hindi ito screenshot: nag-iiba ang mga screen ayon sa rehiyon at bersyon.
| Saan | Iwan | Hayaang naka-off | Paano ito sinusuri ng isang serbisyo |
|---|---|---|---|
| Binance | Enable Reading | Enable Spot & Margin Trading, Enable Margin Loan, Repay & Transfer, Enable Futures, Enable Withdrawals | ang request na apiRestrictions: enableReading = true, false ang lahat ng iba pang permission |
| Bybit | Read-Only | Read-Write | ang request na query-api: readOnly = 1 |
| OKX | Read | Trade, Withdraw | ang request na account/config: perm = read_only |
| MetaTrader 5 | investor password | master password | walang key: ang password mismo ang nagtatakda ng karapatan |
Kung humihingi ng karapatang mag-trade o mag-withdraw ang isang journal o analytics tool, dahilan iyon para tumanggi. Pagbasa lang ang kailangan nila.
Paano gumawa ng key sa bawat exchange
Binance
Tatlong bagay muna ang hinihingi ng Binance: two-factor authentication (2FA), deposit ng kahit anong halaga sa Spot wallet mo, at nakumpletong identity verification.
- Buksan ang API Management. Profile icon → Account → API Management.
- Gawin ang key. Create API → System generated, pangalanan ito at kumpirmahin gamit ang 2FA o passkey.
- I-save ang secret. Makikita lang ang Secret Key kapag ginagawa ito; pagkatapos, natatakpan na ito.
- Tingnan ang mga permission. Edit restrictions: Enable Reading lang ang naka-check. Naka-on ito bilang default.
Mula Enero 30, 2023, pagbasa lang ang kaya ng system-generated na key na walang IP restriction. Ina-on lang ng Binance ang withdrawals sa key na naka-bind sa mga IP address.
Bybit
Sa website lang nagagawa ang key; hindi ito kaya ng app. Puwedeng hindi pa makagawa ng key ang bagong account sa unang 48 oras nito.
- Buksan ang API Management. Profile icon sa kanang itaas → API.
- Gawin ang key. Create New Key → System-generated API Keys → API Transaction, at pangalanan ito.
- Piliin ang Read-Only. Ang isa pang opsyon, Read-Write, ay nagpapahintulot ng trading.
- I-check ang mga seksyon. Halimbawa, Unified Trading. Babasahin lang ng Read-Only na key ang mga ito.
- Kumpirmahin at i-save ang secret. Ang code mo sa Google Authenticator, saka ang API Key at API Secret. Isang beses lang ipinapakita ang secret.
OKX
- Buksan ang seksyong API. Profile → API; sa website, puwedeng API and connections ang tawag dito. I-click ang Create API key.
- Punan ang form. Pangalan, ang account (main o sub-account) at ang layunin ng key.
- Iisang permission lang ang iwan: Read. Hayaang naka-off ang Trade at Withdraw.
- Maglagay ng passphrase. Ito ang sariling password ng key. Hindi mo na ito makikita pagkatapos: kapag nawala ito, i-delete ang key at gumawa ng bago.
- I-save ang tatlong string. API key, Secret key at Passphrase.
Sa ilang rehiyon, pinapayagan lang ng OKX ang paggawa ng key kung higit sa $100 ang laman ng account. May sariling OKX site ang mga residente ng European Economic Area at ng Estados Unidos, at gumagana ang mga key mula sa mga iyon sa eea.okx.com at us.okx.com. Tiyaking suportado ng serbisyo ang sa iyo.
MetaTrader 5: ang investor password
May dalawang password ang MetaTrader 5 account. Buong karapatan ang ibinibigay ng master password. Ang investor password ay para makita ang account at masuri ang mga presyo, pero hindi para mag-trade. Iyan ang ibinibigay sa journal sa halip na key.
Mapapalitan mo ang investor password sa terminal: Tools → Options → tab na Server → Change → Change investor password. Kapag pinilit ng broker ang pagpapalit ng master password, nare-reset din ang investor password.
Dapat mo bang i-bind ang key sa isang IP address?
Ang IP binding ay nangangahulugang tumatanggap lang ang key ng request mula sa mga address na inilista mo. Inirerekomenda ito ng mga exchange: kahit manakaw ang key na naka-bind, hindi ito gagana mula sa computer ng iba.
Simple ang patakaran. Kung naglalabas ng mga IP address nito ang isang serbisyo, ilagay ang mga iyon. Kung hindi, puwedeng manatiling hindi naka-bind ang read-only na key: hindi rin naman ito makakapag-trade o makakapag-withdraw. Pero may sariling limit ang bawat exchange para sa mga key na hindi naka-bind.
| Exchange | Key na walang IP binding |
|---|---|
| Bybit | Titigil sa paggana pagkalipas ng 90 araw, o 7 araw matapos mong palitan ang password ng account |
| Binance | Binubura pagkalipas ng 30 araw na hindi nagamit |
| OKX | Binubura ang key na may Trade o Withdraw pagkalipas ng 14 na araw na hindi nagamit |
Hindi kailanman tatamaan ng 30-araw na patakaran ng Binance ang serbisyong palaging gumagamit ng key. Pero sa Bybit, titigil sa paggana ang hindi naka-bind na key pagkalipas ng 90 araw. Kung ano ang pipiliin kapag nagko-connect ng journal sa bawat exchange, at kung paano i-renew ang Bybit key, tinatalakay sa mga page namin tungkol sa pag-connect ng Binance, Bybit at OKX.
Ano ang gagawin kapag na-leak ang key
Inililista ng Bybit kung saan hindi dapat mapunta kailanman ang secret: sa mga screenshot at video, sa public na source code at repository, sa mga mensaheng ipinadala sa hindi ligtas na channel. Kung posibleng napunta sa iba ang secret:
- I-delete agad ang key. Sa Binance sa API Management, sa Bybit gamit ang Delete sa column na Action (sa website lang), sa OKX sa seksyong API. Hindi na gagana ang na-delete na key para kaninuman.
- Huwag umasa sa pagpapalit ng password. Sa Bybit, patuloy na gumagana ang hindi naka-bind na key nang 7 araw matapos mong palitan ang password ng account. Ang pag-delete lang ang pumapatay rito.
- Tingnan ang history. Mga order, trade, transfer at withdrawal sa mga nakaraang araw. Sa OKX, ipinapakita ng Security Center kung kailan ginamit ang mga key na may Trade o Withdraw at walang IP binding.
- Gumawa ng bagong key. Read-only, at hiwalay para sa bawat serbisyo, para hindi kailangang ayusin sa lahat ng lugar ang leak sa isa.
- Kontakin ang support ng exchange. Kung may makita kang trade o withdrawal na hindi mo ginawa.
Checklist bago ibigay ang key
- Iisang permission: pagbasa. Tingnan ito sa API page pagkatapos gawin ang key, hindi lang habang ginagawa ito.
- Iisang key kada serbisyo. I-delete ang hindi mo na kailangan nang hindi ginagalaw ang iba.
Ang journal na naka-connect gamit ang key ang mismong nagtatala ng mga trade, kasama ang fees, funding at MAE at MFE. Kung mano-mano ang journal mo, hindi mo kailangan ng key: sapat na ang trading journal template para sa Excel, at kung ano ang itatala, tinatalakay sa Paano Gumawa ng Trading Journal.
Mga sanggunian
- Binance: How to Create API Keys on Binance?: ang mga kailangan, ang mga hakbang, Enable Reading; mula Enero 30, 2023, pagbasa lang ang kaya ng key na walang IP restriction; kailangan ng IP restriction para sa withdrawals.
- Binance: Frequently Asked Questions on API: makikita lang ang Secret Key kapag ginagawa ito; security risk ang mga third-party platform.
- Binance: How to Use an API Key Securely: binubura ang mga hindi naka-bind na key na 30 araw na hindi nagamit; iisang key kada layunin; palitan agad ang key kung pinaghihinalaan mong na-compromise ito.
- Binance Developers: Wallet Quick Start: Enable Reading ang default na restriction ng bagong key.
- Binance Developers: Margin Trading Best Practice: ang mga permission na Enable Spot & Margin Trading at Enable Margin Loan, Repay & Transfer.
- Binance: How to Create an API Key for a Futures Lead Trading Portfolio?: ang button na Edit restrictions at ang permission na Enable Futures.
- Binance: How to Download and Set up Binance Gift Card API: ang permission na Enable Withdrawals.
- Binance Developers: Get API Key Permission: ang request na apiRestrictions at ang mga field nito.
- Bybit: How to Create Your API Key?: sa website lang, 48 oras para sa bagong account, ang mga hakbang sa API Management.
- Bybit EU: What Is API Trading and How to Set It Up: Read-Only at Read-Write, IP whitelisting at No IP restriction, 90 araw kung hindi naka-bind, isang beses ipinapakita ang secret, kung saan hindi dapat mapunta ang secret.
- Bybit API: Create Sub UID API Key: titigil sa paggana ang hindi naka-bind na key pagkalipas ng 90 araw, o 7 araw matapos magpalit ng password.
- Bybit API: Get API Key Information: ang request na query-api at ang field nitong readOnly.
- Bybit: How to Delete Your API Key: Delete sa column na Action, sa website lang.
- OKX: API FAQ: paggawa ng key, ang passphrase, ang kondisyong $100, ang mga site para sa EEA at US, pag-expire ng mga key na walang IP binding.
- Dokumentasyon ng OKX API v5: ang mga permission na Read, Trade at Withdraw; hanggang 20 IP address; 14 na araw para sa hindi naka-bind na key na may Trade o Withdraw; ang Security Center; ang request na account/config at ang field nitong perm.
- MetaTrader 5 Help: Connect to an Account: ang master at investor password at kung ano ang pinapayagan ng investor access.
- MetaTrader 5 Help: Platform Settings: pagpapalit ng investor password sa tab na Server.
Galing sa English na website ng mga exchange ang mga pangalan ng button. Maaaring iba ang pagkakasabi sa ibang wika at sa mga regional na site, at paminsan-minsang binabago ng mga exchange ang disenyo ng mga page nila.
