唯讀 API 密鑰：在 Kraken、Coinbase 及 OKX 上應勾選的權限

唯讀 API 密鑰是存取你在某個平台上帳戶的密鑰，可以查詢你的結餘、訂單及紀錄，但不能下單、轉賬或提取資金。

為甚麼密鑰的權限很重要

追蹤你投資組合的應用程式會保存你的密鑰，以代你調用平台。如果密鑰外洩，洩露的就是它的權限，而且只限於這些權限。Coinbase 就其 Transfer 權限提出警告：取得這類密鑰 Secret 的人，可以把你所有的加密貨幣轉出帳戶。唯讀密鑰只會顯示你自己看得到的內容。

各平台的權限

每項權限的作用

• Kraken：查詢類權限讀取資金、未成交及已完成的訂單、分類賬及匯出資料；存入、提取及訂單類權限則會操作帳戶。
• Kraken Futures：另一個獨立的密鑰。唯讀模式下，它只開放不會在伺服器上寫入任何內容的端點。完整存取會令它成為一個主密鑰，而提取資金取決於另一項獨立的權限，即 Withdrawal API。
• Coinbase：View 用於查看帳戶，Trade 用於下單，Transfer 用於轉出資金。
• OKX：Read 用於查看帳戶及其紀錄；Trade 用於下單及取消訂單、劃轉資金及更改設定；Withdraw 用於提取資金。

把密鑰限制在一個 IP 地址

密鑰亦可以限制為只能從特定 IP 地址使用：如果調用來自其他地方，即使 Secret 正確，平台亦會拒絕它。

• Kraken 為每個密鑰提供允許的 IP 地址清單及到期日。
• Coinbase 建議使用其 IP 白名單，但並非強制。
• OKX 每個密鑰最多可綁定 20 個 IP 地址。可以交易或提取資金、但未有綁定 IP 地址的密鑰，在 14 日未有使用後會失效。

Hyperliquid：完全毋須密鑰

Hyperliquid 的 info 端點可查詢任何地址，地址以明文寫在請求中：要追蹤一個帳戶，有它的地址便足夠。Hyperliquid 特別說明，要提供帳戶本身的地址，而非 API 錢包的地址，後者會傳回空白結果。

事後檢查密鑰

• 重新檢視權限：平台的 API 頁面會顯示每個密鑰的權限。
• 刪除不再使用的密鑰：已刪除的密鑰再也無法使用，即使其 Secret 已經外洩。
• 更換你有懷疑的密鑰：先建立新密鑰，把它輸入應用程式，確認運作正常後，再刪除舊密鑰。

CentraFIN 如何處理你的密鑰

• 保存前先檢查：CentraFIN 會向 Coinbase 及 OKX 查詢新密鑰的權限，如果它能交易、轉賬或提取資金，便會拒絕。Kraken 不支援這種檢查：新增視窗會列出需要勾選的權限。
• 加密：密鑰及其 Secret 一送達即會加密（AES-256-GCM），之後不會再顯示。
• 單一地址：調用全部由我們的中繼伺服器 130.110.240.91 發出，這就是你需要在密鑰上允許的地址。

各平台的逐步說明：Kraken、Kraken Futures、Coinbase、OKX 及 Hyperliquid。

來源

• Kraken：如何建立 API 密鑰
• Kraken Futures：如何建立 API 密鑰
• Coinbase：API 密鑰驗證
• OKX：建立 API 密鑰
• Hyperliquid：info 端點

常見問題

唯讀密鑰會把我的帳戶清空嗎？

不會。它既不能下單，亦不能轉賬或提取資金。不過，持有它的人看得到你的結餘及紀錄。

每個應用程式都要用一個獨立的密鑰嗎？

最好如此：這樣你便可以刪除其中一個，而不影響其他密鑰。

為甚麼要把密鑰限制在一個 IP 地址？

因為被盜的密鑰在其他地方便無法使用：任何並非來自允許地址的調用，平台都會拒絕。

CentraFIN 用我的密鑰能看到甚麼？

密鑰允許查詢的內容：結餘、持倉、訂單、成交紀錄及轉賬。僅此而已，因為它不能做其他任何事。