Chiave API di sola lettura: Binance, Bybit, OKX e MT5
Cosa fa una chiave API di sola lettura e perché è sicura: permessi su Binance, Bybit e OKX, password investor di MT5, vincolo IP e fughe della chiave.
Una chiave API di sola lettura vede il tuo saldo, le posizioni e lo storico dei trade, ma non può inserire ordini, trasferire né prelevare. Per questo puoi darla a un diario di trading o a uno strumento per le tasse: anche se viene rubata, espone dei dati, non il conto. Qui sotto: quali permessi tenere su Binance, Bybit e OKX, cosa dà MetaTrader 5 al posto di una chiave, quando vincolare una chiave a un indirizzo IP e cosa fare se una chiave finisce nelle mani sbagliate.
Cosa può fare una chiave di sola lettura
Una chiave API è una coppia di stringhe, la chiave e la chiave segreta. Con queste un programma entra nel tuo conto sull’exchange senza la tua password e fa tutto ciò che i permessi della chiave consentono. I permessi sono di tre tipi:
- Lettura. Saldi, posizioni, ordini e storico dei trade.
- Trading. Inserire, modificare e annullare ordini per tuo conto.
- Prelievi e trasferimenti. Spostare denaro fuori dal conto o tra conti.
Una chiave che può fare trading dà già accesso al tuo denaro. Se viene rubata a un servizio o dal tuo computer, un estraneo può fare trading sul tuo conto e, con i permessi di prelievo, prendersi anche i fondi. Binance lo dice chiaramente: inserire le proprie chiavi in una piattaforma di terze parti è un rischio per la sicurezza.
Una chiave di sola lettura elimina questo rischio. Espone comunque dei dati, però: il tuo storico dei trade e la dimensione del tuo conto. Dalla solo a servizi di cui ti fidi, e dai a ognuno la sua chiave.
Quali permessi tenere: Binance, Bybit, OKX e MetaTrader 5
Ogni piattaforma usa i suoi nomi. Lo schema segue le pagine di assistenza e la documentazione degli exchange e di MetaQuotes all’8 ottobre 2026. Non è uno screenshot: le schermate cambiano a seconda della regione e della versione.
| Dove | Tieni | Lascia disattivato | Come lo verifica un servizio |
|---|---|---|---|
| Binance | Enable Reading | Enable Spot & Margin Trading, Enable Margin Loan, Repay & Transfer, Enable Futures, Enable Withdrawals | la richiesta apiRestrictions: enableReading = true, ogni altro permesso false |
| Bybit | Read-Only | Read-Write | la richiesta query-api: readOnly = 1 |
| OKX | Lettura (Read) | Operazione, Preleva (Trade, Withdraw) | la richiesta account/config: perm = read_only |
| MetaTrader 5 | password investor | password master | niente chiavi: è la password stessa a stabilire i diritti |
Se un diario o uno strumento di analisi chiede permessi di trading o di prelievo, è un motivo per dire di no. Gli basta la lettura.
Come creare la chiave su ogni exchange
Binance
Prima Binance vuole tre cose: l’autenticazione a due fattori (2FA), un deposito di qualsiasi importo nello Spot wallet e la verifica dell’identità completata.
- Apri API Management. Icona del profilo → Account → API Management.
- Crea la chiave. Create API → System generated, dalle un nome e conferma con la 2FA o con una passkey.
- Salva la chiave segreta. La Secret Key è visibile solo alla creazione; dopo viene mascherata.
- Controlla i permessi. Edit restrictions: è spuntato solo Enable Reading. È attivo di default.
Dal 30 gennaio 2023 una chiave generata dal sistema senza restrizione IP può solo leggere. Binance abilita i prelievi solo su una chiave vincolata a degli indirizzi IP.
Bybit
Le chiavi si creano solo sul sito: l’app non lo permette. A un conto nuovo può essere impedito di creare chiavi per le prime 48 ore.
- Apri API Management. Icona del profilo in alto a destra → API.
- Crea la chiave. Create New Key → System-generated API Keys → API Transaction, e dalle un nome.
- Scegli Read-Only. L’altra opzione, Read-Write, permette il trading.
- Spunta le sezioni. Per esempio, Unified Trading. Una chiave Read-Only si limiterà a leggerle.
- Conferma e salva la chiave segreta. Il codice di Google Authenticator, poi API Key e API Secret. La chiave segreta viene mostrata una sola volta.
OKX
- Apri la sezione API. Profilo → API; sul sito può chiamarsi API e connessioni. Fai clic su Crea Chiave API.
- Compila il modulo. Un nome, il conto (principale o un subaccount) e lo scopo della chiave.
- Tieni un solo permesso: Lettura (Read). Lascia disattivati Operazione e Preleva (Trade, Withdraw).
- Imposta una passphrase. È la password della chiave stessa (l’assistenza di OKX in italiano la chiama «parafrasi»). Non potrai vederla in seguito: se la perdi, elimina la chiave e creane una nuova.
- Salva tutte e tre le stringhe. API key, Secret key e Passphrase.
In alcune regioni OKX permette di creare una chiave solo se il conto detiene più di 100 dollari. I residenti dello Spazio economico europeo e degli Stati Uniti hanno i propri siti OKX, e le loro chiavi funzionano tramite eea.okx.com e us.okx.com. Controlla che il servizio supporti il tuo.
MetaTrader 5: la password investor
Un conto MetaTrader 5 ha due password. La password master dà pieni diritti. La password investor permette di vedere il conto e analizzare i prezzi, ma non di fare trading. È questa che un diario riceve al posto di una chiave.
Puoi cambiare la password investor nel terminale: Tools → Options → la scheda Server → Change → Change investor password. Se il broker impone un cambio della password master, viene reimpostata anche la password investor.
Conviene vincolare la chiave a un indirizzo IP?
Il vincolo IP significa che la chiave accetta richieste solo dagli indirizzi che indichi. Gli exchange lo raccomandano: una chiave vincolata rubata non funziona dal computer di qualcun altro.
La regola è semplice. Se un servizio pubblica i suoi indirizzi IP, inseriscili. Se non lo fa, una chiave di sola lettura può restare senza vincolo: tanto non può fare trading né prelevare. Ma ogni exchange ha i suoi limiti per le chiavi senza vincolo.
| Exchange | Una chiave senza vincolo IP |
|---|---|
| Bybit | Smette di funzionare dopo 90 giorni, o 7 giorni dopo un cambio della password del conto |
| Binance | Viene eliminata dopo 30 giorni di inutilizzo |
| OKX | Una chiave con permessi di trading o di prelievo viene eliminata dopo 14 giorni di inutilizzo |
Un servizio che usa la chiave di continuo non incappa mai nella regola dei 30 giorni di Binance. Su Bybit, invece, una chiave senza vincolo smette di funzionare dopo 90 giorni. Cosa scegliere quando colleghi un diario su ciascun exchange, e come rinnovare una chiave Bybit, lo trovi nelle nostre pagine sul collegamento di Binance, Bybit e OKX.
Cosa fare se una chiave finisce nelle mani sbagliate
Bybit elenca i posti in cui una chiave segreta non deve mai finire: screenshot e video, codice sorgente e repository pubblici, messaggi su canali non sicuri. Se la chiave segreta potrebbe essere arrivata a qualcun altro:
- Elimina subito la chiave. Su Binance in API Management, su Bybit con Delete nella colonna Action (solo dal sito), su OKX nella sezione API. Una chiave eliminata non funziona più per nessuno.
- Non contare su un cambio della password. Su Bybit una chiave senza vincolo continua a funzionare per 7 giorni dopo il cambio della password del conto. Solo eliminarla la disattiva.
- Controlla lo storico. Ordini, trade, trasferimenti e prelievi degli ultimi giorni. Su OKX, il Security Center mostra quando sono state usate chiavi con permessi di trading o di prelievo e senza vincolo IP.
- Crea una nuova chiave. Di sola lettura, e una separata per ogni servizio, così, se una chiave trapela da un servizio, non devi rimediare ovunque.
- Contatta l’assistenza dell’exchange. Se vedi trade o prelievi che non hai fatto.
Una checklist prima di consegnare una chiave
- Un solo permesso: la lettura. Controllalo nella pagina API dopo aver creato la chiave, non solo durante la creazione.
- Una chiave per servizio. Elimina quella che non ti serve più senza toccare le altre.
Un diario collegato con una chiave registra i trade da solo, con commissioni, funding e MAE e MFE. Se tieni il diario a mano, non ti serve nessuna chiave: basta il modello di diario di trading per Excel, e cosa registrare lo spiega la guida Come tenere un diario di trading.
Fonti
- Binance: How to Create API Keys on Binance?: i requisiti, i passaggi, Enable Reading; dal 30 gennaio 2023 una chiave senza restrizione IP può solo leggere; i prelievi richiedono una restrizione IP.
- Binance: Frequently Asked Questions on API: la Secret Key è visibile solo alla creazione; le piattaforme di terze parti sono un rischio per la sicurezza.
- Binance: How to Use an API Key Securely: le chiavi senza vincolo inattive per 30 giorni vengono eliminate; una chiave per ogni scopo; cambia subito una chiave se sospetti che sia compromessa.
- Binance Developers: Wallet Quick Start: la restrizione di default di una nuova chiave è Enable Reading.
- Binance Developers: Margin Trading Best Practice: i permessi Enable Spot & Margin Trading ed Enable Margin Loan, Repay & Transfer.
- Binance: How to Create an API Key for a Futures Lead Trading Portfolio?: il pulsante Edit restrictions e il permesso Enable Futures.
- Binance: How to Download and Set up Binance Gift Card API: il permesso Enable Withdrawals.
- Binance Developers: Get API Key Permission: la richiesta apiRestrictions e i suoi campi.
- Bybit: How to Create Your API Key?: solo dal sito, 48 ore per un conto nuovo, i passaggi in API Management.
- Bybit EU: What Is API Trading and How to Set It Up: Read-Only e Read-Write, IP whitelisting e No IP restriction, 90 giorni senza vincolo, la chiave segreta mostrata una sola volta, dove una chiave segreta non deve mai finire.
- Bybit API: Create Sub UID API Key: una chiave senza vincolo smette di funzionare dopo 90 giorni, o 7 giorni dopo un cambio della password.
- Bybit API: Get API Key Information: la richiesta query-api e il suo campo readOnly.
- Bybit: How to Delete Your API Key: Delete nella colonna Action, solo dal sito.
- OKX: API FAQ: la creazione di una chiave, la passphrase, il requisito dei 100 dollari, i siti per lo SEE e gli Stati Uniti, la scadenza delle chiavi senza vincolo IP. I nomi italiani delle voci nei passaggi: OKX: Domande frequenti sull’API.
- Documentazione OKX API v5: i permessi Read, Trade e Withdraw; fino a 20 indirizzi IP; 14 giorni per una chiave senza vincolo con Trade o Withdraw; il Security Center; la richiesta account/config e il suo campo perm.
- MetaTrader 5 Help: Connect to an Account: le password master e investor e cosa permette l’accesso investor.
- MetaTrader 5 Help: Platform Settings: il cambio della password investor nella scheda Server.
I nomi dei pulsanti vengono dai siti in inglese degli exchange e, per OKX, dalla sua assistenza in italiano. In altre lingue e sui siti regionali possono essere diversi, e gli exchange rinnovano le loro pagine di tanto in tanto.
