API Key 是帳戶的一把數碼鑰匙
加密貨幣交易所的 API Key 可以讓程式或第三方工具讀取帳戶資料、查詢訂單，亦可能獲准下單或提幣。香港讀者搜尋 API Key 權限時，最重要的問題不是「要不要連接機械人」，而是每把鑰匙實際能做甚麼、從哪個網絡登入，以及出現問題時如何撤銷。API Key 一旦洩漏，權限設定會影響風險範圍。
建立前先確認工具的來源和用途。若只需要查看資產或報表，就不應開啟交易或提幣權限；若要下單，亦不代表需要提款功能。權限越少越容易控制損失範圍。每個工具使用獨立 Key，並為它設定清楚名稱和建立日期，方便日後識別不再使用的項目。
分清讀取、交易與提幣權限
讀取權限通常用來檢視餘額、成交紀錄或行情；交易權限可能允許建立及取消訂單；提幣權限則可能把資產轉出帳戶。不同交易所的名稱與範圍會有差異，不能只按按鈕標籤猜測。建立前打開官方文件，核對每個 scope 對應的操作，再以最少權限測試連線。
如果第三方工具要求提幣權限，先問它為何需要。投資組合追蹤或報表通常不需要把資產轉走。若無法解釋用途、文件不清楚或客服要求你把 Secret Key 貼到聊天視窗，就停止設定。公開 Key 和 Secret Key 都應視為機密；不要上傳到公開程式碼庫、截圖或試算表。
IP 白名單與提款地址白名單有何不同
IP 白名單通常限制 API Key 可從哪些網絡位置使用，提款地址白名單則限制資產可轉往哪些目的地。兩者保護的環節不同，不能互相取代。若服務支援 IP 限制，先確認第三方工具的固定 IP 範圍，再由交易所帳戶安全頁設定。不要把不明的 IP 清單直接貼入設定；地址白名單也應從平台的正式頁面核對。
提款白名單有時會涉及新增地址、冷卻時間或額外驗證，規則會因交易所和帳戶而不同。即使地址已經登記，仍要確認網絡、資產、Memo/Tag 和收款方。地址白名單不是批准所有提款行為，也不代表第三方 API Key 可以安全地持有提款權限。
替每把鑰匙建立期限和撤銷程序
記錄 Key 所屬工具、用途、建立日期、允許的權限、IP 範圍和負責人。若工具停止使用、團隊成員離職或服務出現異常，立即到交易所安全頁撤銷相關 Key，然後檢查登入紀錄、未完成訂單、API 活動和提款地址。只刪除本機設定未必會令伺服器端鑰匙失效。
如果懷疑 Key 洩漏，先使用官方網站或應用程式登入，不要點擊訊息中的「立即解鎖」連結。撤銷受影響的 Key，檢查雙重驗證、密碼和帳戶活動，並聯絡交易所官方支援。不要把 Secret Key、驗證碼或助記詞傳給自稱客服的人。若你只停用 Key 而沒有確認撤銷成功，仍可能留有未關閉的權限。
使用自動交易工具時額外檢查
交易機械人可能持續下單或取消訂單，故要先限制可用市場、交易規模和可接受損失。API Key 的交易權限並不代表策略本身可靠。先了解工具如何保存密鑰、是否加密、誰能讀取、如何更新，以及供應商停運時如何撤銷。不要把同一把鑰匙同時交給多個不相關服務。
測試時可先使用只讀權限，檢查工具顯示的帳戶資料是否正確；真的需要下單時，再評估是否開啟交易權限。對每項權限都問：「如果這個工具被入侵，最壞能做甚麼？」若答案包含無限制提款或轉帳，先回頭檢查是否有更窄的設定。保留小額測試並不能代替權限審核。
在香港使用多個平台時，最好為每個平台分別維護一份 Key 清單，避免把某一家的權限設置套用到另一家。API 的「現貨交易」、「合約交易」或「讀取帳戶」可能是不同選項，部分平台亦會把轉帳權限獨立列出。連接前先在官方說明中查看是否包括子帳戶、衍生品或資金帳戶操作，再從帳戶頁面逐項確認。若平台容許設定有效期，可把到期日和檢查日期記入日曆；若不支援，就設定固定的人工複查週期。每次更換手機、交易工具或登入網絡後，也應重看 IP 限制和登入通知，確認沒有留下已不需要的 Key。
建立前的 API Key 安全清單
- 只開啟工具確實需要的讀取或交易權限。
- 如無必要，關閉提款、轉帳及新增地址權限。
- 為 Key 設定 IP 白名單，並核對來源是否官方。
- 每個第三方工具使用獨立 Key，避免共用。
- 把 Secret Key 存在受保護的密碼管理器，不放在聊天、郵件或公開程式碼。
- 記錄撤銷位置，定期移除不再使用的 Key。
交易所的 API 權限名稱、IP 限制和提款流程可能更新，因此要看帳戶內最新設定和官方文件。香港交易平台或海外服務的功能亦可能不同。若工具要求你關掉安全限制，卻沒有可核實的技術理由，先不要連接。
更多錢包與交易平台安全內容可看交易所安全指南及CryptoSigy 繁體中文文章。可參考火幣香港 API 文件和KuCoin API 權限說明；它們只代表各自平台的規則，其他平台需另行核對。本文為一般資訊，不構成投資或資安審核服務。
