BingX API Key 安全設定完整教學
禁 Withdraw、IP 白名單、閒置 14 天到期的三個關鍵

你要把 TradingView 訊號、或某個交易機器人接到 BingX 自動下單，第一件事就是建一把 API key。90% 的人在這一步權限給太寬——多數人是照著網路上 Binance 版的教學隨手勾一勾，忘了兩家的權限模型不一樣。這篇把 BingX 官方 API 文件、以及我們自己這站 跨 10 家交易所的權限檢查清單已經查證過的部分整理成 BingX 專用版，只講會影響你風險大小的三件事：關掉哪個權限、要不要綁 IP、以及一個很多人不知道的閒置到期機制。

這篇不比較 BingX 跟 Binance 誰的資安做得比較好——那需要跨交易所的實測與內部制度審計，我們沒做過。這篇也不會教你怎麼在 BingX 上做交易策略——只講 API key 這一層。範圍縮在這裡，是因為只要這一層設對了，就算某個下游工具將來被駭，你的資金也搬不走；設錯了的話，後面所有防護都變成裝飾。

BingX 的 API key 權限模型：能勾什麼、不能勾什麼

BingX 在建 API key 時給你的權限選項，跟大多數中心化交易所一樣是獨立勾選——不像 Gate.io 只有 Read and Write 或 Read Only 二選一。這是好事，代表你可以精準給到「只做我需要的事」而已。權限清單依 BingX 官方 API 文件與帳戶端 API 管理頁面（查證日期 2026 年 7 月），可勾選的類別如下。

這張表有個容易被忽略的欄——Read 不是獨立勾選項。你勾了 Spot trading 或 Perpetual Futures trading，它就會附帶讀帳戶／讀行情的能力。這跟 Binance 把 Enable Reading 做成獨立勾選項不一樣，所以如果你完全只想要「讀不寫」的 key（例如給看盤程式或監控用），BingX 的做法是建 key 時什麼交易類別都不勾——它就是預設的純唯讀 key。

三個必做設定：關 Withdraw、綁 IP、主帳號 2FA

設定一：不要勾 withdrawal 權限

這一條的重要性在於它決定了 key 外洩時的損失規模，其他兩條決定的是外洩機率。就算你把 IP 白名單設得再嚴、主帳號 2FA 開得再多層，只要哪天 key 從別的地方漏出去——電腦中毒、SaaS 平台被駭、自己手滑 push 到公開 repo——withdraw 有沒有勾，決定的是駭客能不能直接把錢搬走。

BingX 在 key 層級可以把交易跟提幣完全分開——這一點我們的跨交易所檢查清單裡逐條對照過，10 家裡有 9 家可以，Gate.io 是唯一例外。BingX 屬於「可以分開」的那 9 家之一。所以這件事的難度不是技術限制，是你有沒有記得不勾而已。

設定二：綁 IP 白名單

BingX 對 IP 白名單的規則是——要開 withdraw 權限就必須綁 IP，這是強制的；其他權限（trading / transfer / subaccount management）則是選配。單一 key 最多可綁 20 個 IP。這個上限對絕大多數場景綽綽有餘：你自己架的 VPS 通常就 1 個固定 IP，用 SaaS 平台的話對方會給你一組固定出口 IP（TVSBot 給的是一組，其他工具數量不一，接工具之前先問清楚）。

但這裡有個 BingX 特有的坑值得先講——如果你的 key 完全不綁 IP，除了少一層防護以外，還會觸發下一節要講的 14 天閒置自動刪除規則。相比之下，只要你綁了 IP，那個規則就不會套到你頭上。所以綁 IP 這件事對 BingX key 的意義不只是「安全性 +1」，也是「防止機器人靜默斷線」——這一點是 Binance 使用者遷過來時最常漏掉的部分。

設定三：主帳號 2FA、提幣白名單

API key 是不是安全，跟你主帳號本身有沒有被打穿有間接關係。以下這些是強烈建議但不是本文重點——實作細節請以 BingX 帳戶頁當下顯示為準：主帳號啟用 2FA、開啟登入異常郵件通知、把提幣地址加進帳戶級白名單（跟 API key 的 IP 白名單是兩件事——這個是限制「錢只能提到這些地址」的帳戶級設定）。

這一節寫得比較短，是刻意的——這些是通用的帳號安全建議，不是 BingX 專屬。我們沒有實地在 BingX 帳戶頁面上把 2FA、提幣白名單、登入通知每一項的當下 UI 走過一遍逐字截圖，所以這裡只點名功能不寫具體按鈕位置——實際設定時請以 BingX 帳戶頁當下顯示為準。

閒置 14 天到期：BingX 特有的靜默斷線陷阱

這一條的重要性在於：你的機器人會在你不知情的情況下停止運作，而且不會有任何錯誤訊息告訴你這件事已經發生。BingX 官方文件的規則是——如果一把 key 有交易／轉帳／子帳戶管理任一權限、又沒綁 IP 白名單，閒置滿 14 天就會被自動刪除。綁了 IP 的 key、以及純唯讀（什麼權限都沒勾）的 key，都不受這條限制。

對比 Binance 是 30 天、BingX 是 14 天，直接砍半——這也是為什麼你不能照著 Binance 版教學設 BingX 就完事。「閒置」的定義是「這段期間沒有任何 API 呼叫」，而不是「你這段期間沒登入」——這一點很重要，因為只要你的機器人還在活著、有在打 API（就算只是每分鐘打一次讀取），這 14 天就不會累計。

建 BingX API key 的實際流程

官方 UI 會偶爾改版，這裡不寫具體像素位置的按鈕動線——只給你必經的步驟骨架。實際設定時請以 BingX 帳戶頁當下顯示為準。

登入 BingX
          → 右上角頭像／帳戶選單
          → API Management（或帳戶設定裡的 API 分頁）
          → Create API Key
          → 填 Label（例如：tvsbot-prod、grid-bot-01）
          → 完成 2FA 驗證
          → 拿到 API Key 與 Secret Key（Secret 只顯示一次，立刻複製）
          → 點該 key 進入 Edit：
              - 勾選需要的 trading 類別（Spot 或 Perpetual）
              - ❌ 不要勾 Withdrawal
              - ❌ 不要勾 Sub-account management
              - 填入 IP 白名單（建議必填，即使不開 Withdraw）
          → Save changes

Secret Key 只會顯示一次——這是所有交易所的共通規則，不是 BingX 專屬。看到之後立刻複製到密碼管理工具（1Password、Bitwarden、macOS Keychain 都可以）——貼進純文字檔案、Slack、Email 都是不好的習慣，一次養成一次痛。

子帳戶跑機器人：值得考慮但不強制

BingX 支援子帳戶架構——你可以在主帳號底下建立多個子帳戶，各自有獨立的 API key。這麼做的好處是爆倉範圍隔離：如果某個機器人的 key 出問題（外洩、策略失控、單子亂下），影響範圍限縮在該子帳戶的資金，不會波及主帳號其他資產。

BingX 官方 API 文件裡的 Sub-account Management 那一節列了 Create Sub-account、Create Sub-account API Key、Query API KEY Permissions、Freeze/Unfreeze Sub-Account 等相關 endpoints——這代表這個架構是官方支援的、有完整 API 可以管理。但就我們查證的範圍內，BingX 官方文件沒有明講「機器人必須跑在子帳戶」這種強制要求——這只是最佳實務，不是規定。所以要不要用子帳戶，取決於你機器人跑的資金規模值不值得多這一層隔離。

怎麼挑串接 BingX 的自動化工具

BingX 目前是我們自己 TradingView Webhook 支援交易所整理裡列為「有官方 REST／WebSocket API 可對接、能接自動下單」的名單成員——這代表市面上不少工具都聲稱能接。挑工具時值得問清楚三件事：

• 它會不會要求你把 key 開 withdrawal 權限？會的話直接跳過這個工具——現貨與合約下單這件事，技術上永遠不需要提幣權限，會要求就是架構有問題。
• 它給你的固定 IP 有幾個？能不能寫進 BingX 的 20 個 IP 上限裡？多數 SaaS 是 1～3 個，這在 BingX 上綽綽有餘；有些工具是動態出口 IP（每次呼叫可能不一樣），這種你就沒辦法綁 IP 白名單，得回頭權衡是不是可以接受。
• 你的 key 存在他們那邊的方式是什麼？明文存在資料庫是警訊；加密儲存而且加密主金鑰跟資料庫實體分開存放，是值得問清楚的基本門檻。

就我們自己來說：TVSBot 用 Fernet（AES-128-CBC + HMAC-SHA256）加密儲存 API 金鑰，加密主金鑰只存在環境變數、跟資料庫本身分開存放；每一筆下單都直接用你自己的 key 呼叫交易所 API，我們不會持有你的資金；設定文件建議使用者只開交易權限、並提供一組固定出口 IP 讓你填進 BingX 白名單。同一份設定 checklist 適用於任何非託管工具，不只是 TVSBot——所以就算你最後選了別家，這一節的清單也用得上。

誠實的一段：這篇文章沒解決的問題

即便你把上面三個設定全部做好，還有一些風險是這篇教學無法幫你消除的，寫在這裡是為了讓你有正確的預期：

第一，交易所本身被駭這件事沒有 API key 層級的防禦可以擋——你的資產放在 BingX 上，就是承擔 BingX 這個平台的營運風險。這一層要靠交易所的 Proof of Reserves、保險基金、以及你自己分散持有到多家平台或冷錢包來處理，不是靠 key 怎麼設定。

第二，你自己的策略把錢虧掉，跟 API key 安全無關——這篇沒有討論任何策略層面的風險。回測績效不代表未來表現，這件事永遠成立；即使是最保守的 grid bot、資費套利，遇到極端行情都會虧損。策略層面的風險評估請看我們的 Kelly 公式與部位大小、ATR 波動率動態調整部位兩篇。

第三，我們沒能對 BingX 做完整的內部制度審計——本文所有關於 BingX 官方規則的敘述，都是根據可公開查證的文件與帳戶頁面內容整理出來的，查證日期 2026 年 7 月。交易所政策會在沒有太多預告的情況下變動，實際設定前建議自己再去 BingX 官方 API 文件頁面確認一次現行規則。

常見問題