交易所 API Key 权限、IP 白名单与过期披露雷达

决策矩阵

来源地图

• Binance Developers：Spot API Request Security（binance-request-security）
• Coinbase Developer Documentation：API Authentication（coinbase-auth）
• OKX Technical Support：OKX API Guide: API Key Security（okx-api-guide）
• MEXC API Documentation：Spot API Introduction（mexc-spot-api）
• Kraken Developers：Spot REST Authentication（kraken-rest-auth）

控制说明

1. Permission scope

这一项要求读者先把公开来源翻译成操作规则。这里的含义是：each venue names private permissions differently。可执行动作是：map read, trade and withdraw scopes separately。仍然未知的是：hidden account flags。因此本文不会把未知部分包装成安全承诺、收益承诺、官方背书、审批保证、注册诱导、可用性保证或产品推荐。

2. IP binding

这里的含义是：IP allowlists can reduce key abuse but can also break failover。可执行动作是：list allowed hosts and emergency disable steps。仍然未知的是：NAT and proxy changes。

3. Expiry

这里的含义是：some venues constrain keys without IP protection or after inactivity。可执行动作是：record renewal windows and owner。仍然未知的是：future policy changes。

4. Freshness

这里的含义是：timestamps, nonces or signatures constrain replay windows。可执行动作是：monitor clock drift and monotonic state。仍然未知的是：cross-host split brain。

5. Withdrawal risk

这里的含义是：trading keys and withdrawal keys have different blast radius。可执行动作是：avoid withdrawal permission unless required and reviewed。仍然未知的是：private product permissions。

6. Audit log

这里的含义是：safe logs need IDs and hashes, not secrets。可执行动作是：store request IDs, hashes and source channel only。仍然未知的是：venue-side private logs。

7. Stop rule

这里的含义是：stop if a key's scope, host, expiry or signature evidence is unknown。可执行动作是：rotate or disable before retrying automation。仍然未知的是：support investigation timing。

仍需明确的未知项

• hidden account flags
• NAT and proxy changes
• future policy changes
• cross-host split brain
• private product permissions
• venue-side private logs
• support investigation timing

实用结论

本文最有价值的地方是克制。NexuAlpha 当前 API-key 雷达发现，不同交易所的认证语言不能互换。Binance 文档说明 signed endpoints 的 request security；Coinbase 文档说明 CDP 与 Exchange authentication；OKX 在 API guide 中说明 API key security 与 REST authentication；MEXC 文档说明 Spot API key 要求和 IP whitelist guidance；Kraken 文档说明 Spot REST authentication。实用结论是：任何机器人跨平台共用凭据前，都应比较权限范围、IP 绑定、key 过期、timestamp window、nonce 或签名新鲜度、提现权限和非秘密审计日志。 用户应获得一个更清楚的核验路径和停止条件，而不是一个看似肯定、实则无法由公开证据承担的承诺。