Khóa API chỉ đọc (read-only): quyền cần đánh dấu trên Kraken, Coinbase và OKX

Khóa API chỉ đọc là một khóa truy cập vào tài khoản của bạn trên một nền tảng, cho phép xem số dư, lệnh và lịch sử của bạn, mà không thể đặt lệnh, chuyển tiền hay rút tiền.

Vì sao quyền của khóa lại quan trọng

Một ứng dụng theo dõi danh mục của bạn giữ khóa của bạn để thay bạn gọi tới nền tảng. Nếu khóa này bị lộ, nó trao đi các quyền của nó, và chỉ những quyền đó. Coinbase cảnh báo về quyền Transfer của mình: ai lấy được secret của một khóa như vậy có thể gửi toàn bộ tiền mã hóa của bạn ra khỏi tài khoản. Một khóa chỉ đọc chỉ cho thấy những gì chính bạn thấy.

Quyền trên từng nền tảng

Nền tảng	Quyền nên cấp	Quyền nên từ chối
Kraken	Query Funds, Query Open Orders & Trades, Query Closed Orders & Trades, Query Ledger Entries, Export Data	Nạp tiền, rút tiền, và mọi quyền tạo, sửa hoặc hủy lệnh
Kraken Futures	General API chỉ đọc	General API toàn quyền, Withdrawal API toàn quyền
Coinbase	View	Trade, Transfer
OKX	Read	Trade, Withdraw

Mỗi quyền cho phép làm gì

Kraken: các quyền xem đọc tiền, lệnh đang mở và đã đóng, sổ cái và các bản xuất; các quyền nạp, rút và đặt lệnh thì tác động lên tài khoản.
Kraken Futures: một khóa riêng. Ở chế độ chỉ đọc, nó chỉ mở các điểm truy cập không ghi gì lên máy chủ. Toàn quyền biến nó thành một khóa chủ, và việc rút tiền phụ thuộc vào một quyền riêng, là Withdrawal API.
Coinbase: View xem tài khoản, Trade đặt lệnh, Transfer gửi tiền.
OKX: Read xem tài khoản và lịch sử của nó; Trade đặt và hủy lệnh, chuyển tiền và thay đổi cài đặt; Withdraw rút tiền.

Giới hạn khóa theo một địa chỉ IP

Một khóa cũng có thể được giới hạn theo các địa chỉ IP: nền tảng sẽ từ chối nó nếu lệnh gọi đến từ nơi khác, kể cả khi đúng secret.

Kraken cung cấp, cho mỗi khóa, một danh sách địa chỉ IP được phép và một ngày hết hạn.
Coinbase khuyến nghị dùng danh sách địa chỉ IP được phép của mình, nhưng không bắt buộc.
OKX chấp nhận tối đa 20 địa chỉ IP cho mỗi khóa. Một khóa có thể giao dịch hoặc rút tiền mà không gắn với địa chỉ IP nào sẽ hết hạn sau 14 ngày không dùng.

Hyperliquid: không cần khóa nào

Điểm truy cập info của Hyperliquid trả lời cho bất kỳ địa chỉ nào, được ghi dạng văn bản thường trong yêu cầu: để theo dõi một tài khoản, chỉ cần địa chỉ của nó. Hyperliquid lưu ý phải đưa địa chỉ của chính tài khoản, không phải địa chỉ của một ví API, vốn trả về kết quả rỗng.

Kiểm tra khóa về sau

Xem lại các quyền của nó: trang API của nền tảng hiển thị quyền của từng khóa.
Xóa khóa không còn dùng: một khóa đã xóa không còn tác dụng gì, kể cả khi secret của nó đã bị lộ.
Thay khóa mà bạn nghi ngờ: tạo khóa mới, đưa nó vào ứng dụng, kiểm tra xem nó có hoạt động không, rồi xóa khóa cũ.

CentraFIN xử lý khóa của bạn thế nào

Được kiểm tra trước khi lưu: CentraFIN hỏi Coinbase và OKX về quyền của một khóa mới, và từ chối khóa đó nếu nó có thể giao dịch, chuyển tiền hoặc rút tiền. Kraken không cho phép kiểm tra như vậy: hộp thoại thêm khóa liệt kê các quyền cần đánh dấu.
Được mã hóa: khóa và secret của nó được mã hóa (AES-256-GCM) ngay khi đến và không bao giờ được hiển thị lại.
Một địa chỉ duy nhất: các lệnh gọi đi từ máy chủ chuyển tiếp của chúng tôi, 130.110.240.91, địa chỉ bạn cần cho phép trên khóa của mình.

Với từng nền tảng, từng bước một: Kraken, Kraken Futures, Coinbase, OKX và Hyperliquid.

Nguồn

Câu hỏi thường gặp

Một khóa chỉ đọc có thể rút sạch tài khoản của tôi không?

Không. Nó không thể đặt lệnh, chuyển tiền hay rút tiền. Tuy vậy, nó cho người nắm giữ thấy số dư và lịch sử của bạn.

Có nên dùng một khóa cho mỗi ứng dụng?

Nên như vậy: khi đó bạn có thể xóa một khóa mà không động đến các khóa khác.

Vì sao nên giới hạn khóa theo một địa chỉ IP?

Vì một khóa bị đánh cắp sẽ trở nên vô dụng ở nơi khác: nền tảng từ chối mọi lệnh gọi không đến từ một địa chỉ được phép.

CentraFIN thấy gì với khóa của tôi?

Những gì khóa cho phép xem: số dư, vị thế, lệnh, lệnh đã khớp và các khoản chuyển. Không gì hơn, vì khóa không thể làm gì khác.