Klucz API tylko do odczytu: Binance, Bybit, OKX i MT5

Klucz API tylko do odczytu widzi saldo, pozycje i historię transakcji, ale nie może składać zleceń, przelewać ani wypłacać środków. Dlatego można go dać dziennikowi tradera albo narzędziu podatkowemu: nawet jeśli zostanie skradziony, ujawni dane, a nie konto. Poniżej: jakie uprawnienia zostawić na Binance, Bybit i OKX, co zamiast klucza daje MetaTrader 5, kiedy przypisać klucz do adresu IP i co zrobić, gdy klucz wycieknie.

Co może klucz tylko do odczytu

Klucz API to para ciągów znaków: klucz i sekret. Dzięki nim program wchodzi na Twoje konto giełdowe bez hasła i robi wszystko, na co pozwalają uprawnienia klucza. Są trzy rodzaje uprawnień:

• Odczyt. Salda, pozycje, zlecenia i historia transakcji.
• Handel. Składanie, zmiana i anulowanie zleceń w Twoim imieniu.
• Wypłaty i przelewy. Wyprowadzanie pieniędzy z konta albo przenoszenie ich między kontami.

Klucz, który może handlować, daje już dostęp do Twoich pieniędzy. Jeśli zostanie wykradziony z serwisu albo z Twojego komputera, obca osoba może handlować na Twoim koncie, a z prawem do wypłat – także zabrać środki. Binance mówi to wprost: wpisywanie kluczy na platformie zewnętrznej to ryzyko dla bezpieczeństwa.

Klucz tylko do odczytu usuwa to ryzyko. Nadal jednak ujawnia dane: historię transakcji i wielkość konta. Dawaj go tylko serwisom, którym ufasz, i każdemu osobny klucz.

Jakie uprawnienia zostawić: Binance, Bybit, OKX i MetaTrader 5

Każda platforma używa własnych nazw. Schemat odpowiada stronom pomocy i dokumentacji giełd oraz MetaQuotes według stanu na 8 października 2026. To nie zrzut ekranu: ekrany różnią się zależnie od regionu i wersji.

Jeśli dziennik albo narzędzie analityczne prosi o prawo do handlu lub wypłat, to powód, żeby odmówić. Wystarczy im odczyt.

Jak utworzyć klucz na każdej giełdzie

Binance

Najpierw Binance wymaga trzech rzeczy: uwierzytelniania dwuskładnikowego (2FA), wpłaty dowolnej kwoty na portfel spot (Spot wallet) i ukończonej weryfikacji tożsamości.

1. Otwórz API Management. Ikona profilu → Account → API Management.
2. Utwórz klucz. Create API → System generated, nadaj nazwę i potwierdź przez 2FA albo klucz dostępu (passkey).
3. Zapisz sekret. Secret Key widać tylko przy tworzeniu; potem jest zamaskowany.
4. Sprawdź uprawnienia. Edit restrictions: zaznaczone tylko Enable Reading. Jest włączone domyślnie.

Od 30 stycznia 2023 klucz System generated bez ograniczenia IP może tylko czytać. Wypłaty Binance włącza tylko na kluczu przypisanym do adresów IP.

Bybit

Klucze tworzy się tylko na stronie; w aplikacji się nie da. Nowe konto może mieć zablokowane tworzenie kluczy przez pierwsze 48 godzin.

1. Otwórz API Management. Ikona profilu w prawym górnym rogu → API.
2. Utwórz klucz. Create New Key → System-generated API Keys → API Transaction i nadaj nazwę.
3. Wybierz Read-Only. Druga opcja, Read-Write, pozwala handlować.
4. Zaznacz sekcje. Na przykład Unified Trading. Klucz Read-Only będzie je tylko odczytywać.
5. Potwierdź i zapisz sekret. Kod z Google Authenticator, potem API Key i API Secret. Sekret jest pokazywany tylko raz.

OKX

1. Otwórz sekcję API. Profil → API; na stronie może się nazywać API i połączenia. Kliknij Utwórz klucz API.
2. Wypełnij formularz. Nazwa, konto (główne albo subkonto) i zastosowanie klucza.
3. Zostaw jedno uprawnienie: Odczyt (Read). Handel i Wypłać (Trade, Withdraw) zostaw wyłączone.
4. Ustaw passphrase (w polskiej pomocy OKX: „parafraza”). To własne hasło klucza. Później nie da się go podejrzeć: jeśli je zgubisz, usuń klucz i utwórz nowy.
5. Zapisz wszystkie trzy ciągi. API key, Secret key i Passphrase.

W niektórych regionach OKX pozwala utworzyć klucz tylko wtedy, gdy konto ma ponad 100 $. Mieszkańcy Europejskiego Obszaru Gospodarczego i USA mają własne strony OKX, a klucze z nich działają przez eea.okx.com i us.okx.com. Sprawdź, czy serwis obsługuje Twoją.

MetaTrader 5: hasło inwestora

Konto MetaTrader 5 ma dwa hasła. Hasło główne (master) daje pełne prawa. Hasło inwestora pozwala oglądać konto i analizować ceny, ale nie handlować. To ono trafia do dziennika zamiast klucza.

Hasło inwestora zmienisz w terminalu: Tools → Options → karta Server → Change → Change investor password. Gdy broker wymusi zmianę hasła głównego, hasło inwestora też zostaje zresetowane.

Czy przypisać klucz do adresu IP?

Przypisanie do IP oznacza, że klucz przyjmuje zapytania tylko z podanych adresów. Giełdy to zalecają: skradziony przypisany klucz nie zadziała z cudzego komputera.

Zasada jest prosta. Jeśli serwis publikuje swoje adresy IP, wpisz je. Jeśli nie, klucz tylko do odczytu może zostać nieprzypisany: i tak nie może handlować ani wypłacać. Każda giełda ma jednak własne limity dla nieprzypisanych kluczy.

Serwis, który ciągle używa klucza, nigdy nie trafi na 30-dniową zasadę Binance. Na Bybit natomiast nieprzypisany klucz przestaje działać po 90 dniach. Co wybrać przy łączeniu dziennika na każdej giełdzie i jak przedłużyć klucz Bybit, opisują nasze strony o połączeniu Binance, Bybit i OKX.

Co zrobić, gdy klucz wycieknie

Bybit wymienia miejsca, w których sekret nigdy nie powinien się znaleźć: zrzuty ekranu i filmy, publiczny kod źródłowy i repozytoria, wiadomości wysyłane niezabezpieczonymi kanałami. Jeśli sekret mógł trafić do kogoś innego:

1. Od razu usuń klucz. Na Binance w API Management, na Bybit przyciskiem Delete w kolumnie Action (tylko na stronie), na OKX w sekcji API. Usunięty klucz nie działa dla nikogo.
2. Nie polegaj na zmianie hasła. Na Bybit nieprzypisany klucz działa jeszcze 7 dni po zmianie hasła do konta. Wyłącza go tylko usunięcie.
3. Sprawdź historię. Zlecenia, transakcje, przelewy i wypłaty z ostatnich dni. Na OKX Security Center pokazuje, kiedy używano kluczy z Trade lub Withdraw bez przypisania do IP.
4. Utwórz nowy klucz. Tylko do odczytu i osobny dla każdego serwisu, żeby wyciek w jednym nie wymagał naprawy wszędzie.
5. Skontaktuj się z pomocą techniczną giełdy. Jeśli widzisz transakcje albo wypłaty, które nie są Twoje.

Lista kontrolna przed przekazaniem klucza

• Jedno uprawnienie: odczyt. Sprawdź to na stronie API po utworzeniu klucza, a nie tylko w trakcie tworzenia.
• Jeden klucz na serwis. Usuwasz niepotrzebny, nie ruszając pozostałych.

Dziennik połączony kluczem sam zapisuje transakcje, z prowizjami, fundingiem oraz MAE i MFE. Jeśli prowadzisz dziennik ręcznie, klucz nie jest potrzebny: wystarczy szablon dziennika tradera do Excela, a co zapisywać, wyjaśnia poradnik Jak prowadzić dziennik tradera.

Źródła

• Binance: How to Create API Keys on Binance?: wymagania, kroki, Enable Reading; od 30 stycznia 2023 klucz bez ograniczenia IP może tylko czytać; wypłaty wymagają ograniczenia IP.
• Binance: Frequently Asked Questions on API: Secret Key widać tylko przy tworzeniu; platformy zewnętrzne to ryzyko dla bezpieczeństwa.
• Binance: How to Use an API Key Securely: nieprzypisane klucze nieużywane przez 30 dni są usuwane; jeden klucz do jednego celu; przy podejrzeniu przejęcia od razu zmień klucz.
• Binance Developers: Wallet Quick Start: domyślne ograniczenie nowego klucza to Enable Reading.
• Binance Developers: Margin Trading Best Practice: uprawnienia Enable Spot & Margin Trading i Enable Margin Loan, Repay & Transfer.
• Binance: How to Create an API Key for a Futures Lead Trading Portfolio?: przycisk Edit restrictions i uprawnienie Enable Futures.
• Binance: How to Download and Set up Binance Gift Card API: uprawnienie Enable Withdrawals.
• Binance Developers: Get API Key Permission: zapytanie apiRestrictions i jego pola.
• Bybit: How to Create Your API Key?: tylko na stronie, 48 godzin dla nowego konta, kroki w API Management.
• Bybit EU: What Is API Trading and How to Set It Up: Read-Only i Read-Write, IP whitelisting i No IP restriction, 90 dni bez przypisania, sekret pokazywany raz, miejsca, w których sekret nie może się znaleźć.
• Bybit API: Create Sub UID API Key: nieprzypisany klucz przestaje działać po 90 dniach albo 7 dni po zmianie hasła.
• Bybit API: Get API Key Information: zapytanie query-api i jego pole readOnly.
• Bybit: How to Delete Your API Key: Delete w kolumnie Action, tylko na stronie.
• OKX: API FAQ: tworzenie klucza, passphrase, wymóg 100 $, strony dla EOG i USA, wygasanie kluczy bez przypisania do IP. Polskie nazwy menu w krokach: OKX: FAQ API.
• OKX API v5 documentation: uprawnienia Read, Trade i Withdraw; do 20 adresów IP; 14 dni dla nieprzypisanego klucza z Trade lub Withdraw; Security Center; zapytanie account/config i jego pole perm.
• MetaTrader 5 Help: Connect to an Account: hasło główne i hasło inwestora oraz to, na co pozwala dostęp inwestorski.
• MetaTrader 5 Help: Platform Settings: zmiana hasła inwestora na karcie Server.

Nazwy przycisków pochodzą z angielskich wersji stron giełd, a w części o OKX – z polskiej pomocy OKX. W innych językach i na stronach regionalnych mogą brzmieć inaczej, a giełdy co jakiś czas przebudowują swoje strony.