非託管交易機器人的
API 金鑰權限檢查清單

任何自動化交易工具——包括我們自己的——遲早都會請你提供交易所 API 金鑰。真正決定你風險大小的問題，從來不是選哪個工具，而是你給那把 key 開了哪些權限。只給任務真正需要的權限，key 外洩頂多是麻煩一場；權限開得比需要的寬，那就是完全不同等級的問題了。

有個觀念值得講清楚：非託管工具拿到的 key，讓它能代你下單，但它不會拿走你資產的持有權——這個區別是真實存在的，而且很重要。但這個區別，只有在 key 的權限開得夠窄時才成立。一旦這把 key 也開了提幣權限，「代你下單的權限」跟「你資產的存取權」之間的界線就模糊了很多——因為不管 key 是不是外洩，握有它的人現在都能直接把資金轉走。

10 家交易所，逐一對照官方文件

下面這張表只放真正會影響你風險大小的四件事：可勾選的權限種類、交易與提幣能否分開、IP 白名單是強制還是選配，以及如果你兩者都沒設定，key 會怎樣。所有內容都來自各交易所自己的說明中心、開發者文件或公告；查不到官方明文的地方，表格直接寫「官方未明確說明」，不用其他家的做法去類推。

三個值得放慢腳步看的差異

上面表格大部分都符合直覺：讀取、交易、提幣是各自獨立的開關，IP 白名單是降低風險的選項。但有三家交易所打破了這個常見模式，如果你習慣了另一家的做法，很容易看漏。

Gate.io：沒有「只交易不提幣」的選項

Gate.io 官方 API 文件（2026-07-06 更新）講得很清楚：API key 只有Read and Write或Read Only二選一，沒有中間選項。一把能下單的 key，同時也能發起提幣——這個權限模型把兩者綁在一起，沒辦法只給其中一個。

這裡要講精確一點：這是在描述 Gate.io 權限模型的結構長什麼樣子，不是在評價 Gate.io 這家交易所安不安全。Gate.io 在 API 權限之外另外有自己的提幣防護——提幣只能提到「已手動提過的地址」，且新增地址後有 24 小時冷卻期。但就 API key 這個層級來說，如果你要把 Gate.io 的 key 接給任何交易工具，「關掉提幣就好」這個常見建議在這裡用不上——這也讓 IP 白名單和交易所自己的提幣地址控管，變得更重要。

Kraken：不主動設定就永遠不會到期

表格裡其他有到期規則的交易所，都是把它做成「預設強制」——沒設 IP 白名單，key 就會按時鐘到期，不管你有沒有要求。Kraken 不是這樣運作的。「IP Address Restriction」跟「Key Expiration」都是建立 key 時你自己選擇要不要開的設定項。兩個都不開的話——根據 Kraken 官方支援文件——這把 key 就是不會到期。

如果你的心理模型是「反正交易所到時候會幫我讓 key 到期，不用自己管」，這個假設在 Kraken 身上是錯的。Kraken 把這個決定權完全交給你自己。

Hyperliquid：一筆錢包簽名，不是一把 key

Hyperliquid 是永續合約 DEX，根本不發傳統意義上的 API key。取而代之的是，你的主錢包簽署一筆ApproveAgent動作，授權另一個API Wallet（Hyperliquid 官方文件裡也稱作 Agent Wallet）代表你簽署後續的交易動作。一個帳戶可以有 1 個未命名的 API Wallet，加上最多 3 個命名的 API Wallet。

這裡需要謹慎地加上但書。Hyperliquid 的官方文件描述了兩套不同的簽名機制：sign_l1_action用於下單、取消單這類動作，sign_user_signed_action用於提幣、授權新 agent 這類動作。根據這個區分，加上 Hyperliquid 官方 SDK 的實際行為，Agent/API Wallet 看起來只能簽署第一類動作——也就是說它能拿資金去交易，但不能把資金提領出去。這是本人根據技術架構所做的推論，不是 Hyperliquid 官方文件裡哪一句話直接講出來的原文。請把它當作有充分佐證的推論，而不是官方白紙黑字的保證。

哪些是官方規定，哪些只是業界慣例

很多關於 API key 的「最佳實務」建議被重複講太多次，聽起來就像是每家交易所都強制執行的規則。有些確實是，有些不是。以下是誠實的區分，讓你知道哪些是不能妥協的，哪些其實是你自己主動多做、交易所並沒有要求你這麼做。

檢查清單

分成三個階段，每一項都能追溯回上面已經查證過的內容，不是空泛的「小心一點」提醒。

建立 key 之前

• 直接打開交易所目前最新的 API 文件——不要照抄舊教學文章裡的截圖。權限選單跟到期預設值會變動；例如 Gate.io 這份文件最後更新時間是 2026-07-06。
• 確認你要接的工具只要求交易權限。如果它也要求提幣權限，先問清楚為什麼——一個自動化機器人真正需要把資金提領出去的正當理由非常少見。
• 確認你的交易所是不是真的能在 key 層級把交易跟提幣分開。本次查證的 10 家裡有 9 家可以。Gate.io 是唯一的例外——它的 Read and Write 權限把兩者綁在一起，如果你用的是 Gate.io，IP 白名單跟提幣地址設定就要提前規劃好。

設定當下

• 除非有明確、當下就需要的理由，否則不要勾選提幣權限。
• 如果交易所有提供，就開啟 IP 白名單。在Binance、Bitget、KuCoin、BingX上，只要牽涉到提幣權限就不是選配。其他家雖然選配，還是值得做——這是唯一一個在上述中心化交易所效果都一致的設定（Hyperliquid 這類 DEX 則完全沒有 IP 白名單這個概念）。想看 Binance 更詳細的單一交易所操作步驟，可參考 我們的 Binance API 金鑰安全指南。
• 如果交易所可以設定明確的到期時間，建議主動設定，不要只依賴預設值。Kraken 特別要注意——除非你自己打開「Key Expiration」，不然它不會主動幫你到期。

上線之後

• 記下你沒開 IP 白名單的 key 什麼時候會自動到期——本次查證的交易所裡，短則 14 天（OKX、BingX）、長則 90 天（Bybit、Gate.io、MEXC）。Bitget 跟 KuCoin 查不到任何到期機制，代表 key 在那裡不會自己提醒你。
• 定期回交易所帳戶本身核對這把 key 實際掛的權限，而不是只看工具儀表板顯示的內容。像 Gate.io 這種權限綁在一起的交易所，key 很容易在不知不覺間帶著比你原本想開更寬的權限。
• 如果交易所跟工具都支援，考慮讓機器人跑在獨立子帳戶而不是主帳戶。沒有任何交易所強制要求這麼做，但有幾家在自己的文件裡把它列為降低外洩損害的建議做法。

選工具之前，該問哪些問題

不管你評估的是我們還是別家工具，以下三個問題都適用：

• key 怎麼儲存？明文存在資料庫是警訊。加密儲存，而且加密金鑰跟資料庫本身分開存放，是值得問清楚的基本門檻。
• 它會不會要求提幣權限？如果一個工具明明只需要幫你下單，卻還要求提幣權限，接上去之前值得直接問清楚原因。
• 能不能只用交易權限的 key 就正常運作？如果你的交易所支援交易/提幣分離（上面 10 家有 9 家可以），工具本身就不應該需要更多權限才能運作。

就我們自己來說：TVSBot 用 Fernet（AES-128-CBC + HMAC-SHA256）加密儲存的 API 金鑰，加密主金鑰只存在環境變數，跟資料庫本身分開存放。每一筆下單都是直接用你的 key 呼叫交易所自己的 API——TVSBot 不會持有你的資金。我們自己的設定文件建議使用者只開交易權限的 key，並提供一個固定 IP 讓你在支援的交易所上設定白名單——因為如上面表格所示，IP 白名單是唯一一個不管交易所是否強制、在上述中心化交易所都能一致降低風險的設定。

常見問題