交易所 API Key 權限完整說明：把它交給第三方之前該懂的事

API Key 到底是什麼

你可以把它想成一把功能受限的備用鑰匙。你的帳號密碼是主鑰匙，能做所有事情；API Key 則是你自己配出來的副本，而且可以指定這把副本能開哪幾道門。

它通常由三個部分組成：API Key（識別身分）、Secret Key（簽章用的密鑰）、以及部分交易所額外要求的 Passphrase。三者齊全才能發出有效的請求。

三種權限，能做的事差很多

關鍵的分界線在最後一列。「交易」與「提現」之間隔著的不是程度差別，是本質差別。 只有交易權限的情況下，不論對方怎麼操作，資產都還在你的帳戶裡；有了提現權限，資產就可以離開。

而且提現權限在多數交易所還有額外的保護層——通常必須搭配提幣地址白名單，也就是只能提到你事先登記過的地址。這讓「純粹靠 API Key 提走資產」變得更困難，但不要把這當成可以放心勾選的理由：自動交易服務本來就不需要這個權限。

那「交易權限」的風險有多大？

要誠實回答：不是零。只有交易權限的 Key 外洩，攻擊者確實可以造成實質損失，常見手法是操縱流動性差的交易對——用你的資金以極差的價格成交，對手方是他自己。你的資產沒有離開帳戶，但價值被搬走了。

這是真實存在的攻擊，所以下一段的自保設定不是形式主義。但要有比例感：這類攻擊需要特定條件（流動性薄的市場、足夠的部位），難度與確定性都遠低於直接提幣。「交易權限的風險大於零」與「交易權限等同於交出資產」之間，差距非常大。

建立 API Key 時該做的四件事

1. 只勾必要的權限

自動交易服務需要讀取與交易，不需要提現。如果一個服務要求提現權限，不論理由多合理，都應該直接拒絕——沒有任何交易策略需要把錢移出帳戶才能執行。

2. 綁定 IP 白名單

這是最有效但最常被跳過的一項。綁定之後，這組 Key 只有從指定的伺服器 IP 發出的請求才有效，從其他地方使用一律被交易所拒絕。也就是說，即使 Key 完整外洩，攻擊者在自己的機器上也用不了。

正當的服務會主動提供它的固定出口 IP 讓你填。如果對方說「我們的 IP 會變動、請不要綁定」，那是一個值得追問的答案——它可能有正當的架構原因，但也讓這道防線消失了。

3. 一個服務一組 Key

不要多個服務共用同一組。分開的好處是隔離：某一個服務出問題時，你只需要停用那一組，其他不受影響；而且從交易所的 API 呼叫紀錄可以看出是誰在動作。

4. 用子帳戶隔離資金

如果交易所支援子帳戶，可以開一個專用子帳戶，只放你打算投入這套策略的資金，API Key 綁在子帳戶上。這樣即使發生最壞情況，暴露的也只是這部分資金，主帳戶不受影響。這是成本很低、效果很好的一層隔離。

出現這些狀況，立刻停用

• 帳戶出現你不認得的訂單或成交紀錄。
• 對方以任何理由要求你「重新建立一組含提現權限的 Key」。
• 你收到自稱客服的訊息，要你提供 Secret Key 或 Passphrase。正當管道永遠不會問這個。
• 你決定不再使用這個服務——不要只是停止付費就算了，順手把 Key 刪掉。閒置但仍有效的 Key 是不必要的長期曝險。

停用 API Key 是你單方面就能完成的動作，立即生效，不需要通知對方、也不需要對方同意。這正是為什麼「服務只透過 API Key 運作」本身就是一個重要的信任結構——你隨時可以把門關上。

THE101 的權限需求

我們需要的是讀取與交易，不需要提現。你在自己的 OKX 帳戶建立 Key，勾選交易權限即可，整個過程都在 OKX 網站上完成，我們拿不到、也不需要你的帳號密碼。

這代表：我們可以替你下單，但無法把資金轉出。這不是我們的承諾，是你自己勾選的權限結構在技術上的限制，你隨時可以到 OKX 後台查證——這也是我們認為值得說的唯一一種「安全」，其他形式的保證都只是說詞。