API key chỉ đọc: Binance, Bybit, OKX và MT5

API key chỉ đọc thấy được số dư, vị thế và lịch sử giao dịch của bạn, nhưng không thể đặt lệnh, chuyển tiền hay rút tiền. Vì vậy bạn có thể đưa nó cho nhật ký giao dịch hoặc công cụ tính thuế: kể cả khi bị đánh cắp, nó chỉ làm lộ dữ liệu chứ không làm mất tài khoản. Dưới đây bạn sẽ biết nên giữ quyền nào trên Binance, Bybit và OKX, MetaTrader 5 dùng gì thay cho API key, khi nào nên gắn khóa với địa chỉ IP, và phải làm gì nếu khóa bị lộ.

API key chỉ đọc làm được gì

API key là một cặp chuỗi ký tự: key và secret. Với cặp này, một chương trình có thể vào tài khoản sàn của bạn mà không cần mật khẩu và làm bất cứ việc gì quyền của khóa cho phép. Có ba loại quyền:

• Đọc. Số dư, vị thế, lệnh và lịch sử giao dịch.
• Giao dịch. Đặt, sửa và hủy lệnh thay bạn.
• Rút tiền và chuyển tiền. Đưa tiền ra khỏi tài khoản hoặc chuyển giữa các tài khoản.

Một khóa có quyền giao dịch đã cho phép tiếp cận tiền của bạn. Nếu nó bị đánh cắp từ một dịch vụ hoặc từ máy tính của bạn, người lạ có thể giao dịch trên tài khoản của bạn, còn nếu có quyền rút tiền thì lấy luôn cả tiền. Binance nói thẳng: nhập khóa vào nền tảng bên thứ ba là một rủi ro bảo mật.

Khóa chỉ đọc loại bỏ rủi ro đó. Tuy vậy, nó vẫn làm lộ dữ liệu: lịch sử giao dịch và quy mô tài khoản của bạn. Chỉ đưa nó cho những dịch vụ bạn tin tưởng, và mỗi dịch vụ một khóa riêng.

Nên giữ quyền nào: Binance, Bybit, OKX và MetaTrader 5

Mỗi nơi dùng tên gọi riêng. Sơ đồ dưới đây dựa trên trang trợ giúp và tài liệu của các sàn và của MetaQuotes tính đến ngày 8/10/2026. Đây không phải ảnh chụp màn hình: giao diện khác nhau tùy khu vực và phiên bản.

Nếu một nhật ký hay công cụ phân tích đòi quyền giao dịch hoặc rút tiền, đó là lý do để từ chối. Chúng chỉ cần quyền đọc.

Cách tạo khóa trên từng sàn

Binance

Trước tiên, Binance yêu cầu ba điều: xác thực hai yếu tố (2FA), đã nạp tiền vào Ví Spot với số tiền bất kỳ, và đã hoàn tất xác minh danh tính.

1. Mở API Management. Biểu tượng hồ sơ → Account → API Management.
2. Tạo khóa. Create API → System generated, đặt tên và xác nhận bằng 2FA hoặc passkey.
3. Lưu secret. Secret Key chỉ hiển thị lúc tạo; sau đó sẽ bị ẩn.
4. Kiểm tra quyền. Edit restrictions: chỉ tích Enable Reading. Quyền này được bật sẵn theo mặc định.

Từ ngày 30/1/2023, khóa do hệ thống tạo mà không giới hạn IP chỉ có thể đọc. Binance chỉ cho bật quyền rút tiền với khóa đã giới hạn địa chỉ IP.

Bybit

Khóa chỉ tạo được trên website; ứng dụng không làm được. Tài khoản mới có thể bị chặn tạo khóa trong 48 giờ đầu.

1. Mở API Management. Biểu tượng hồ sơ ở góc trên bên phải → API.
2. Tạo khóa. Create New Key → System-generated API Keys → API Transaction, rồi đặt tên.
3. Chọn Read-Only. Lựa chọn còn lại, Read-Write, cho phép giao dịch.
4. Tích các mục. Ví dụ Unified Trading. Khóa Read-Only sẽ chỉ đọc các mục đó.
5. Xác nhận và lưu secret. Nhập mã Google Authenticator, rồi lưu API Key và API Secret. Secret chỉ hiển thị một lần.

OKX

1. Mở mục API. Hồ sơ → API; trên website, mục này có thể tên là API and connections. Bấm Create API key.
2. Điền biểu mẫu. Tên, tài khoản (tài khoản chính hoặc tài khoản phụ) và mục đích của khóa.
3. Chỉ giữ một quyền: Read. Để tắt Trade và Withdraw.
4. Đặt passphrase. Đó là mật khẩu riêng của khóa. Bạn không thể xem lại nó: nếu mất, hãy xóa khóa và tạo khóa mới.
5. Lưu cả ba chuỗi. API key, Secret key và Passphrase.

Ở một số khu vực, OKX chỉ cho tạo khóa khi tài khoản có hơn $100. Cư dân Khu vực Kinh tế châu Âu và Mỹ có website OKX riêng, và khóa từ các website đó hoạt động qua eea.okx.com và us.okx.com. Hãy kiểm tra xem dịch vụ có hỗ trợ website OKX bạn đang dùng không.

MetaTrader 5: mật khẩu investor

Tài khoản MetaTrader 5 có hai mật khẩu. Mật khẩu master cho toàn quyền. Mật khẩu investor cho phép xem tài khoản và phân tích giá, nhưng không thể giao dịch. Đó chính là mật khẩu mà nhật ký nhận thay cho API key.

Bạn có thể đổi mật khẩu investor trong terminal: Tools → Options → tab Server → Change → Change investor password. Nếu broker buộc đổi mật khẩu master, mật khẩu investor cũng bị đặt lại.

Có nên giới hạn khóa theo địa chỉ IP không?

Giới hạn IP nghĩa là khóa chỉ nhận yêu cầu từ những địa chỉ bạn liệt kê. Các sàn khuyến nghị việc này: khóa đã giới hạn IP nếu bị đánh cắp cũng không dùng được trên máy tính của người khác.

Quy tắc rất đơn giản. Nếu dịch vụ công bố địa chỉ IP của họ, hãy nhập vào. Nếu không, khóa chỉ đọc có thể để không giới hạn IP: dù sao nó cũng không thể giao dịch hay rút tiền. Nhưng mỗi sàn có giới hạn riêng với khóa không giới hạn IP.

Dịch vụ dùng khóa liên tục sẽ không bao giờ vướng quy tắc 30 ngày của Binance. Còn trên Bybit, khóa không giới hạn IP sẽ ngừng hoạt động sau 90 ngày. Các trang hướng dẫn kết nối Binance, Bybit và OKX của chúng tôi cho biết nên chọn gì khi kết nối nhật ký trên từng sàn và cách gia hạn khóa Bybit.

Phải làm gì nếu khóa bị lộ

Bybit liệt kê những nơi secret tuyệt đối không được xuất hiện: ảnh chụp màn hình và video, mã nguồn và kho mã công khai, tin nhắn qua các kênh không an toàn. Nếu secret có thể đã lọt vào tay người khác:

1. Xóa khóa ngay lập tức. Trên Binance trong API Management, trên Bybit bằng nút Delete ở cột Action (chỉ trên website), trên OKX trong mục API. Khóa đã xóa thì không ai dùng được.
2. Đừng trông vào việc đổi mật khẩu. Trên Bybit, khóa không giới hạn IP vẫn hoạt động 7 ngày sau khi bạn đổi mật khẩu tài khoản. Chỉ có xóa mới vô hiệu hóa được nó.
3. Kiểm tra lịch sử. Lệnh, giao dịch, chuyển tiền và rút tiền trong những ngày gần đây. Trên OKX, Security Center cho biết thời điểm các khóa có quyền Trade hoặc Withdraw mà không giới hạn IP được sử dụng.
4. Tạo khóa mới. Chỉ đọc, và mỗi dịch vụ một khóa riêng, để khi một nơi bị lộ thì không phải sửa ở khắp nơi.
5. Liên hệ bộ phận hỗ trợ của sàn. Nếu bạn thấy giao dịch hoặc lệnh rút tiền mà mình không thực hiện.

Danh sách kiểm tra trước khi đưa khóa

• Một quyền duy nhất: đọc. Kiểm tra lại trên trang API sau khi tạo khóa, không chỉ lúc đang tạo.
• Mỗi dịch vụ một khóa. Xóa khóa không còn cần mà không ảnh hưởng đến các khóa khác.

Nhật ký kết nối bằng khóa sẽ tự ghi lại giao dịch, kèm phí, funding và MAE, MFE. Nếu bạn ghi nhật ký bằng tay thì không cần khóa: mẫu nhật ký giao dịch cho Excel là đủ, còn nên ghi gì thì xem bài Cách ghi nhật ký giao dịch.

Nguồn tham khảo

• Binance: How to Create API Keys on Binance?: các yêu cầu, các bước, Enable Reading; từ ngày 30/1/2023, khóa không giới hạn IP chỉ có thể đọc; quyền rút tiền cần giới hạn IP.
• Binance: Frequently Asked Questions on API: Secret Key chỉ hiển thị lúc tạo; nền tảng bên thứ ba là một rủi ro bảo mật.
• Binance: How to Use an API Key Securely: khóa không giới hạn IP nếu 30 ngày không được dùng sẽ bị xóa; mỗi mục đích một khóa; đổi khóa ngay nếu nghi bị lộ.
• Binance Developers: Wallet Quick Start: quyền mặc định của khóa mới là Enable Reading.
• Binance Developers: Margin Trading Best Practice: các quyền Enable Spot & Margin Trading và Enable Margin Loan, Repay & Transfer.
• Binance: How to Create an API Key for a Futures Lead Trading Portfolio?: nút Edit restrictions và quyền Enable Futures.
• Binance: How to Download and Set up Binance Gift Card API: quyền Enable Withdrawals.
• Binance Developers: Get API Key Permission: truy vấn apiRestrictions và các trường của nó.
• Bybit: How to Create Your API Key?: chỉ trên website, 48 giờ với tài khoản mới, các bước trong API Management.
• Bybit EU: What Is API Trading and How to Set It Up: Read-Only và Read-Write, danh sách IP được phép và No IP restriction, 90 ngày nếu không giới hạn IP, secret chỉ hiển thị một lần, những nơi secret tuyệt đối không được xuất hiện.
• Bybit API: Create Sub UID API Key: khóa không giới hạn IP ngừng hoạt động sau 90 ngày, hoặc 7 ngày sau khi đổi mật khẩu.
• Bybit API: Get API Key Information: truy vấn query-api và trường readOnly của nó.
• Bybit: How to Delete Your API Key: nút Delete ở cột Action, chỉ trên website.
• OKX: API FAQ: cách tạo khóa, passphrase, yêu cầu $100, các website cho EEA và Mỹ, thời hạn của khóa không giới hạn IP.
• OKX API v5 documentation: các quyền Read, Trade và Withdraw; tối đa 20 địa chỉ IP; 14 ngày với khóa không giới hạn IP có quyền Trade hoặc Withdraw; Security Center; truy vấn account/config và trường perm của nó.
• MetaTrader 5 Help: Connect to an Account: mật khẩu master và investor, và quyền truy cập investor cho phép làm gì.
• MetaTrader 5 Help: Platform Settings: cách đổi mật khẩu investor ở tab Server.

Tên các nút lấy theo website tiếng Anh của các sàn. Ở ngôn ngữ khác và trên website theo khu vực, tên có thể khác, và các sàn cũng thỉnh thoảng thiết kế lại trang của họ.