只读 API 密钥：在 Kraken、Coinbase 和 OKX 上应勾选的权限

只读 API 密钥是访问您在某个平台上账户的密钥，可以查询您的余额、委托和历史记录，但无法下单、转账或提现。

为什么密钥的权限很重要

跟踪您投资组合的应用会保存您的密钥，以代您调用平台。如果密钥泄露，泄露的就是它的权限，而且仅限于这些权限。Coinbase 对其 Transfer 权限提出警告：拿到这类密钥 Secret 的人，可以把您的全部加密货币转出账户。只读密钥只会显示您自己能看到的内容。

各平台的权限

每项权限的作用

• Kraken：查询类权限读取资金、当前委托和已关闭的委托、账本以及导出数据；充值、提现和委托类权限则会对账户进行操作。
• Kraken Futures：一把单独的密钥。只读模式下，它只开放不会在服务器上写入任何内容的端点。完全访问会让它成为一把主密钥，而提现取决于另一项单独的权限，即 Withdrawal API。
• Coinbase：View 用于查看账户，Trade 用于下单，Transfer 用于转出资金。
• OKX：Read 用于查看账户及其历史记录；Trade 用于下单和撤单、划转资金以及更改设置；Withdraw 用于提现。

把密钥限制在一个 IP 地址上

密钥还可以限制为只能从特定 IP 地址使用：如果调用来自其他地方，即使 Secret 正确，平台也会拒绝它。

• Kraken 为每把密钥提供允许的 IP 地址列表和到期日期。
• Coinbase 建议使用其 IP 白名单，但并不强制。
• OKX 每把密钥最多可绑定 20 个 IP 地址。可以交易或提现、却未绑定 IP 地址的密钥，在 14 天未使用后会失效。

Hyperliquid：完全不需要密钥

Hyperliquid 的 info 端点可以查询任何地址，地址以明文写在请求中：要跟踪一个账户，有它的地址就够了。Hyperliquid 特别说明，要提供账户本身的地址，而不是 API 钱包的地址，后者会返回空结果。

事后检查密钥

• 重新查看权限：平台的 API 页面会显示每把密钥的权限。
• 删除不用的密钥：已删除的密钥再也无法使用，即使其 Secret 已经泄露。
• 替换您有疑虑的密钥：先创建新密钥，把它填入应用，确认可用后，再删除旧密钥。

CentraFIN 如何处理您的密钥

• 保存前先检查：CentraFIN 会向 Coinbase 和 OKX 查询新密钥的权限，如果它能交易、转账或提现，就会拒绝。Kraken 不支持这种检查：添加窗口会列出需要勾选的权限。
• 加密：密钥及其 Secret 一到达就会被加密（AES-256-GCM），此后不再显示。
• 单一地址：调用都从我们的中继服务器 130.110.240.91 发出，这就是您需要在密钥上允许的地址。

各平台的分步说明：Kraken、Kraken Futures、Coinbase、OKX 和 Hyperliquid。

来源

• Kraken：如何创建 API 密钥
• Kraken Futures：如何创建 API 密钥
• Coinbase：API 密钥认证
• OKX：创建 API 密钥
• Hyperliquid：info 端点

常见问题

只读密钥会把我的账户清空吗？

不会。它既不能下单，也不能转账或提现。不过，持有它的人能看到您的余额和历史记录。

每个应用都要用一把单独的密钥吗？

最好这样：这样您可以删除其中一把，而不影响其他密钥。

为什么要把密钥限制在一个 IP 地址上？

因为被盗的密钥在别处就无法使用：任何不是来自允许地址的调用，平台都会拒绝。

CentraFIN 用我的密钥能看到什么？

密钥允许查询的内容：余额、持仓、委托、成交记录和转账。仅此而已，因为它不能做其他任何事。