唯讀API金鑰：Binance、Bybit、OKX與MT5
唯讀API金鑰能做什麼、為什麼安全：Binance、Bybit與OKX的權限、MT5的投資人密碼、IP綁定，以及金鑰外洩時怎麼辦。
唯讀API金鑰看得到你的餘額、倉位與交易歷史，但不能下單、劃轉或提領。所以你可以把它交給交易日誌或報稅工具：即使被盜，外洩的是資料，不是帳戶。下面說明：在Binance、Bybit與OKX該保留哪些權限、MetaTrader 5用什麼取代金鑰、何時該把金鑰綁定IP位址，以及金鑰外洩時該怎麼辦。
唯讀金鑰能做什麼
API金鑰是一組兩個字串：金鑰與密鑰。程式憑它們不必用你的密碼就能進入你的交易所帳戶，並在金鑰權限允許的範圍內做任何事。權限分成三類：
- 讀取。餘額、倉位、訂單與交易歷史。
- 交易。代表你下單、修改與撤銷訂單。
- 提領與劃轉。把錢移出帳戶，或在帳戶之間移動。
能交易的金鑰，已經等於能動用你的錢。如果它從某個服務或你的電腦被盜，陌生人就能用你的帳戶交易；若有提領權限，還能把資金拿走。Binance說得很直接：把金鑰輸入第三方平台有安全風險。
唯讀金鑰消除了這個風險。不過它仍會暴露資料：你的交易歷史與帳戶規模。只把它交給你信任的服務，並為每個服務各建一把金鑰。
該保留哪些權限：Binance、Bybit、OKX與MetaTrader 5
每個平台的名稱都不一樣。下圖依照各交易所與MetaQuotes在2026年10月8日的說明頁面與文件繪製。它不是截圖：各地區與版本的畫面不同。
| 平台 | 保持開啟 | 保持關閉 | 服務如何檢查 |
|---|---|---|---|
| Binance | 啟用讀取（Enable Reading） | Enable Spot & Margin Trading、Enable Margin Loan, Repay & Transfer、Enable Futures、Enable Withdrawals | apiRestrictions請求：enableReading = true，其他權限都是false |
| Bybit | Read-Only | Read-Write | query-api請求：readOnly = 1 |
| OKX | 讀取（Read） | 交易（Trade）、提幣（Withdraw） | account/config請求：perm = read_only |
| MetaTrader 5 | 投資人密碼 | 主密碼 | 沒有金鑰：權限由密碼本身決定 |
如果日誌或分析工具要求交易或提領權限，這就是拒絕的理由。它們只需要讀取。
如何在各交易所建立金鑰
Binance
Binance要求先完成三件事：兩步驟驗證（2FA）、在現貨錢包儲值任意金額，以及完成身分驗證。
- 打開API管理頁面。個人檔案圖示 → 帳戶（Account）→ API 管理（API Management）。
- 建立金鑰。創建 API（Create API）→ 系統生成（System generated），為它命名，再用2FA或通行密鑰確認。
- 保存密鑰。Secret Key只在建立時看得到，之後就會被遮蔽。
- 檢查權限。Edit restrictions：只勾選「啟用讀取」（Enable Reading）。它預設就是開啟的。
自2023年1月30日起，沒有IP限制的系統生成金鑰只能讀取。Binance只對綁定IP位址的金鑰開放提領。
Bybit
金鑰只能在網站上建立，App無法建立。新帳戶在最初48小時內可能無法建立金鑰。
- 打開API Management。右上角的個人頭像 → API。
- 建立金鑰。Create New Key → System-generated API Keys → API Transaction，並為它命名。
- 選擇Read-Only（唯讀）。另一個選項Read-Write允許交易。
- 勾選項目。例如Unified Trading。Read-Only金鑰只會讀取它們。
- 確認並保存密鑰。輸入Google Authenticator驗證碼，然後保存API Key與API Secret。密鑰只顯示一次。
OKX
- 打開API區塊。個人資料 → API；在網站上可能叫做「API 和連接」（API and connections）。點擊「創建 API key」（Create API key）。
- 填寫表單。名稱、帳戶（主帳戶或子帳戶），以及金鑰的用途。
- 只保留一項權限：讀取（Read）。交易（Trade）與提幣（Withdraw）保持關閉。
- 設定Passphrase。它是金鑰自己的密碼；OKX繁體中文說明的步驟稱它為「助記詞」，但它不是錢包的助記詞。之後無法再查看：如果遺失了，請刪除金鑰並建立新的。
- 保存全部三個字串。API key、Secret key與Passphrase。
在某些地區，帳戶資產必須超過$100，OKX才允許建立金鑰。歐洲經濟區與美國的居民有自己的OKX網站，那裡的金鑰要透過eea.okx.com與us.okx.com使用。請確認服務支援你所在的網站。
MetaTrader 5：投資人密碼
MetaTrader 5帳戶有兩組密碼。主密碼擁有完整權限。投資人密碼可以查看帳戶與分析價格，但不能交易。日誌拿到的就是這一組，用來取代金鑰。
你可以在終端中更改投資人密碼：Tools → Options → Server分頁 → Change → Change investor password。如果經紀商強制更改主密碼，投資人密碼也會一併重設。
金鑰該綁定IP位址嗎？
IP綁定代表金鑰只接受來自你列出的位址的請求。交易所都建議這麼做：被盜的綁定金鑰，在別人的電腦上無法使用。
規則很簡單。如果服務公布了它的IP位址，就填進去。如果沒有公布，唯讀金鑰可以不綁定：它本來就不能交易或提領。但每家交易所對未綁定的金鑰都有自己的限制。
| 交易所 | 未綁定IP的金鑰 |
|---|---|
| Bybit | 90天後失效，或在你更改帳戶密碼7天後失效 |
| Binance | 30天未使用即刪除 |
| OKX | 具有交易或提幣權限的金鑰，14天未使用即刪除 |
持續使用金鑰的服務，永遠不會碰到Binance的30天規則。但在Bybit，未綁定的金鑰90天後就會失效。在各交易所連接日誌時該怎麼選、如何替Bybit金鑰續期，請見我們的Binance、Bybit與OKX連接頁面。
金鑰外洩時該怎麼辦
Bybit列出了密鑰絕對不能出現的地方：截圖與影片、公開的原始碼與程式碼儲存庫，以及透過不安全管道傳送的訊息。如果密鑰可能已經落入他人手中：
- 立刻刪除金鑰。Binance在「API 管理」，Bybit在Action欄位點擊Delete（僅限網站），OKX在API區塊。被刪除的金鑰，對任何人都失效。
- 不要只靠更改密碼。在Bybit，未綁定的金鑰在你更改帳戶密碼後，還會繼續運作7天。只有刪除才能讓它失效。
- 檢查歷史紀錄。過去幾天的訂單、成交、劃轉與提領。在OKX，安全中心會顯示具有交易或提幣權限、未綁定IP的金鑰何時被使用。
- 建立新金鑰。唯讀，並為每個服務各建一把，這樣一處外洩就不必到處修補。
- 聯絡交易所客服。如果你看到不是你做的交易或提領。
交出金鑰前的檢查清單
- 只有一項權限：讀取。建立金鑰後，請在API頁面再檢查一次，不要只在建立時檢查。
- 一個服務一把金鑰。刪除不再需要的那把，不會影響其他金鑰。
用金鑰連接的日誌會自己記錄交易，連同手續費、資金費與MAE與MFE。如果你手動記錄日誌，就不需要金鑰：Excel交易日誌範本就夠用了；要記錄什麼，請見如何記錄交易日誌。
資料來源
- Binance: How to Create API Keys on Binance?（繁體中文版）：申請條件、步驟、Enable Reading；自2023年1月30日起，沒有IP限制的金鑰只能讀取；提領需要IP限制。
- Binance: Frequently Asked Questions on API：Secret Key只在建立時可見；第三方平台有安全風險。
- Binance: How to Use an API Key Securely：30天未使用的未綁定金鑰會被刪除；一個用途一把金鑰；懷疑外洩時立刻更換金鑰。
- Binance Developers: Wallet Quick Start：新金鑰的預設限制是Enable Reading。
- Binance Developers: Margin Trading Best Practice：Enable Spot & Margin Trading與Enable Margin Loan, Repay & Transfer權限。
- Binance: How to Create an API Key for a Futures Lead Trading Portfolio?：Edit restrictions按鈕與Enable Futures權限。
- Binance: How to Download and Set up Binance Gift Card API：Enable Withdrawals權限。
- Binance Developers: Get API Key Permission：apiRestrictions請求與其欄位。
- Bybit: How to Create Your API Key?：僅限網站、新帳戶48小時、API Management的步驟。
- Bybit EU: What Is API Trading and How to Set It Up：Read-Only與Read-Write、IP whitelisting與No IP restriction、未綁定90天、密鑰只顯示一次、密鑰絕對不能出現的地方。
- Bybit API: Create Sub UID API Key：未綁定的金鑰90天後失效，或在更改密碼7天後失效。
- Bybit API: Get API Key Information：query-api請求與其readOnly欄位。
- Bybit: How to Delete Your API Key：Action欄位中的Delete，僅限網站。
- OKX: API FAQ（繁體中文版）：建立金鑰、Passphrase、$100的條件、EEA與美國網站、未綁定IP金鑰的過期規則。
- OKX API v5 documentation：Read、Trade與Withdraw權限；最多20個IP位址；具有Trade或Withdraw的未綁定金鑰14天；安全中心；account/config請求與其perm欄位。
- MetaTrader 5 Help: Connect to an Account：主密碼與投資人密碼，以及投資人存取允許做什麼。
- MetaTrader 5 Help: Platform Settings：在Server分頁更改投資人密碼。
按鈕名稱：Binance與OKX採用它們繁體中文說明中的名稱，括號內附上英文網站的名稱；其他名稱取自交易所的英文網站。其他語言與地區網站的用詞可能不同，交易所也會不時改版頁面。
