読み取り専用APIキー：Binance、Bybit、OKX
読み取り専用APIキーで何ができ、なぜ安全なのか。Binance、Bybit、OKXの権限、MT5の投資家パスワード、IP制限、キーが漏れたときの対処。
読み取り専用APIキーは、残高、ポジション、取引履歴を見ることはできますが、注文、振替、出金はできません。だからこそ、トレード日誌や税金計算ツールに渡せるのです。盗まれても漏れるのはデータで、口座そのものではありません。以下では、Binance、Bybit、OKXで残す権限、MetaTrader 5でキーの代わりになるもの、キーをIPアドレスに紐づけるべきとき、キーが漏れたときの対処を解説します。
読み取り専用キーでできること
APIキーは、キーとシークレットという2つの文字列の組み合わせです。プログラムはこれを使って、パスワードなしで取引所のアカウントにアクセスし、キーの権限で許されていることを何でも行います。権限には3種類あります。
- 読み取り。 残高、ポジション、注文、取引履歴。
- 取引。 あなたに代わって注文を出し、変更し、キャンセルする。
- 出金と振替。 口座から資金を移す、または口座間で移す。
取引できるキーは、すでにあなたのお金にアクセスできます。サービスやパソコンからキーが盗まれれば、他人があなたの口座で取引でき、出金権限があれば資金を持ち出すこともできます。Binanceも、サードパーティのプラットフォームにキーを入力することはセキュリティ上のリスクだと明言しています。
読み取り専用キーなら、そのリスクはなくなります。ただし、取引履歴や口座の規模といったデータは見えてしまいます。信頼できるサービスにだけ渡し、サービスごとに別のキーを使いましょう。
残す権限：Binance、Bybit、OKX、MetaTrader 5
取引所ごとに名称が違います。下の図は、2026年10月8日時点の各取引所とMetaQuotesのヘルプやドキュメントに基づいています。スクリーンショットではありません。画面は地域やバージョンによって異なるからです。
| 取引所 | オンにする | オフのまま | サービス側の確認方法 |
|---|---|---|---|
| Binance | Enable Reading | Enable Spot & Margin Trading、Enable Margin Loan, Repay & Transfer、Enable Futures、Enable Withdrawals | apiRestrictionsリクエスト：enableReading = true、ほかの権限はすべてfalse |
| Bybit | Read-Only | Read-Write | query-apiリクエスト：readOnly = 1 |
| OKX | Read | Trade、Withdraw | account/configリクエスト：perm = read_only |
| MetaTrader 5 | 投資家パスワード | マスターパスワード | キーはなく、パスワード自体が権限を決める |
日誌や分析ツールが取引や出金の権限を求めてきたら、それは断る理由になります。必要なのは読み取りだけです。
各取引所でのキーの作り方
Binance
Binanceでは、まず3つの条件を満たす必要があります。2段階認証（2FA）、現物ウォレットへの入金（金額は問わない）、本人確認の完了です。
- API Managementを開く。 プロフィールアイコン → Account（アカウント）→ API Management（API管理）。
- キーを作成する。 Create API（API作成）→ System generated（システム生成APIキー）を選び、名前を付けて、2段階認証またはパスキーで確認します。
- シークレットを保存する。 Secret Keyが見られるのは作成時だけで、その後は隠されます。
- 権限を確認する。 Edit restrictionsで、Enable Readingだけにチェックが入っていることを確認します。これは初期状態でオンになっています。
2023年1月30日以降、IP制限のないシステム生成キーは読み取りしかできません。Binanceが出金を許可するのは、IPアドレスに紐づけたキーだけです。
Bybit
キーはウェブサイトでしか作成できず、アプリではできません。新規アカウントは、最初の48時間はキーを作成できない場合があります。
- API Managementを開く。 右上のプロフィールアイコン → API。
- キーを作成する。 Create New Key（新しいキーの作成）→ System-generated API Keys → API Transactionを選び、名前を付けます。
- Read-Onlyを選ぶ。 もう一方のRead-Writeでは取引ができてしまいます。
- 項目にチェックを入れる。 たとえばUnified Trading。Read-Onlyのキーは、それらを読み取るだけです。
- 確認してシークレットを保存する。 Google認証のコードを入力し、API KeyとAPI Secretを保存します。シークレットが表示されるのは一度だけです。
OKX
- APIのセクションを開く。 プロフィール → API（ウェブサイトではAPI and connectionsという名前の場合もあります）。Create API keyをクリックします。
- フォームに入力する。 名前、アカウント（メインまたはサブアカウント）、キーの用途。
- 権限はReadだけにする。 TradeとWithdrawはオフのままにします。
- パスフレーズを設定する。 キー専用のパスワードです。後から確認することはできないため、なくした場合はキーを削除して作り直します。
- 3つの文字列をすべて保存する。 API key、Secret key、Passphrase。
一部の地域では、OKXは口座に100ドルを超える資産がある場合にだけキーの作成を認めています。欧州経済領域と米国の居住者には専用のOKXサイトがあり、そこで作ったキーはeea.okx.comとus.okx.comを通じて使います。使うサービスが自分のサイトに対応しているか確認してください。
MetaTrader 5：投資家パスワード
MetaTrader 5の口座には、パスワードが2つあります。マスターパスワードはすべての権限を持ちます。投資家パスワードでは、口座の確認と価格の分析はできますが、取引はできません。日誌にキーの代わりに渡すのは、こちらのパスワードです。
投資家パスワードはターミナルで変更できます：ツール → オプション → サーバタブ → パスワードの変更 → パートナー用（リードオンリー）パスワードの変更。ブローカーがマスターパスワードの変更を強制した場合、投資家パスワードもリセットされます。
キーをIPアドレスに紐づけるべきか
IPの紐づけとは、指定したアドレスからのリクエストだけをキーが受け付けるようにすることです。取引所はこれを推奨しています。紐づけたキーは、盗まれても他人のパソコンからは使えないからです。
ルールは簡単です。サービスがIPアドレスを公開していれば、それを入力します。公開していなければ、読み取り専用キーは紐づけなしでかまいません。どのみち取引も出金もできないからです。ただし、紐づけていないキーには、取引所ごとに独自の制限があります。
| 取引所 | IPに紐づけていないキー |
|---|---|
| Bybit | 90日後、またはアカウントのパスワード変更から7日後に使えなくなる |
| Binance | 30日間使われないと削除される |
| OKX | TradeまたはWithdrawのあるキーは、14日間使われないと削除される |
キーを常に使うサービスなら、Binanceの30日ルールにかかることはありません。しかしBybitでは、紐づけていないキーは90日で使えなくなります。各取引所で日誌を接続するときに何を選ぶか、Bybitのキーをどう延長するかは、Binance、Bybit、OKXの接続ページで解説しています。
キーが漏れたときの対処
Bybitは、シークレットを絶対に載せてはいけない場所を挙げています。スクリーンショットや動画、公開されたソースコードやリポジトリ、安全でない経路でのメッセージです。シークレットが他人に渡った可能性があるなら：
- すぐにキーを削除する。 BinanceではAPI Management（API管理）で、BybitではAction列のDelete（日本語版では「アクション」列の「削除」、ウェブサイトのみ）で、OKXではAPIのセクションで削除します。削除したキーは誰にも使えません。
- パスワードの変更に頼らない。 Bybitでは、アカウントのパスワードを変えても、紐づけていないキーはその後7日間使えてしまいます。無効にするには削除するしかありません。
- 履歴を確認する。 ここ数日の注文、取引、振替、出金を確認します。OKXでは、TradeやWithdrawを持ちIPに紐づけていないキーがいつ使われたかを、セキュリティセンターで確認できます。
- 新しいキーを作成する。 読み取り専用で、サービスごとに別のキーにします。そうすれば1か所で漏れても、すべてを直す必要はありません。
- 取引所のサポートに連絡する。 自分が行っていない取引や出金を見つけた場合です。
キーを渡す前のチェックリスト
- 権限は読み取りだけ。 作成中だけでなく、作成後にもAPIのページで確認します。
- サービスごとに1つのキー。 不要になったキーだけを、ほかに影響を与えずに削除できます。
キーで接続した日誌は、手数料、資金調達料、MAEとMFEを含めて、トレードを自動で記録します。手作業で日誌をつけるならキーは不要です。Excel用のトレード日誌テンプレートで十分で、何を記録するかはトレード日誌のつけ方で解説しています。
出典
- Binance: How to Create API Keys on Binance?：条件、手順、Enable Reading。2023年1月30日以降、IP制限のないキーは読み取りしかできず、出金にはIP制限が必要であること。
- Binance：APIキーの作成方法（日本語版ヘルプ）：括弧内に示した日本語の項目名。
- Binance: Frequently Asked Questions on API：Secret Keyは作成時にしか見られないこと、サードパーティのプラットフォームはセキュリティ上のリスクであること。
- Binance: How to Use an API Key Securely：30日間使われていない紐づけなしのキーは削除されること、目的ごとに1つのキー、漏えいの疑いがあればすぐにキーを変えること。
- Binance Developers: Wallet Quick Start：新しいキーの初期設定はEnable Readingであること。
- Binance Developers: Margin Trading Best Practice：Enable Spot & Margin TradingとEnable Margin Loan, Repay & Transferの権限。
- Binance: How to Create an API Key for a Futures Lead Trading Portfolio?：Edit restrictionsボタンとEnable Futuresの権限。
- Binance: How to Download and Set up Binance Gift Card API：Enable Withdrawalsの権限。
- Binance Developers: Get API Key Permission：apiRestrictionsリクエストとその項目。
- Bybit: How to Create Your API Key?：ウェブサイトのみで作成できること、新規アカウントの48時間、API Managementでの手順。
- Bybit：APIキーはどのように作成するのですか？（日本語版ヘルプ）：括弧内に示した日本語の項目名。
- Bybit EU: What Is API Trading and How to Set It Up：Read-OnlyとRead-Write、IP whitelistingとNo IP restriction、紐づけなしで90日、シークレットは一度だけ表示されること、シークレットを絶対に載せてはいけない場所。
- Bybit API: Create Sub UID API Key：紐づけなしのキーは90日後、またはパスワード変更から7日後に使えなくなること。
- Bybit API: Get API Key Information：query-apiリクエストとreadOnlyの項目。
- Bybit: How to Delete Your API Key：Action列のDelete、ウェブサイトのみ。日本語版はAPIキーの削除。
- OKX: API FAQ：キーの作成、パスフレーズ、100ドルの条件、EEAと米国のサイト、IPに紐づけていないキーの失効。
- OKX API v5 documentation：Read、Trade、Withdrawの権限。最大20件のIPアドレス。TradeまたはWithdrawを持つ紐づけなしのキーは14日。セキュリティセンター。account/configリクエストとpermの項目。
- MetaTrader 5のヘルプ：口座への接続：マスターパスワードと投資家パスワード、投資家アクセスでできること。
- MetaTrader 5のヘルプ：プラットフォームの設定：サーバタブでの投資家パスワードの変更。
ボタンの名称は各取引所の英語版サイトのもので、括弧内は日本語版ヘルプの表記です。ほかの言語や地域別のサイトでは表記が異なる場合があり、取引所はページのデザインをときどき変更します。MetaTrader 5の名称は、日本語版ヘルプの表記です。
