应创建仅含查询权限的API密钥，绑定IP白名单与设备指纹，禁用Passphrase，优先使用模拟环境，并定期轮换密钥及监控日志。

欧易（OKX）官方认证入口：

点击获取官方APP☞☞☞☞☞：

一、创建仅含查询权限的API密钥

只读权限API专用于获取行情、账户余额、订单历史等数据，不涉及任何资金变动操作。该类型密钥禁止启用交易、资金划转、提现等高危权限，从源头降低安全风险。

1、登录OKX官网，进入「账户」→「API管理」页面。

2、点击「创建API Key」按钮，选择「系统生成API密钥」选项。

3、在权限配置界面，**仅勾选「查询」类权限**，包括：账户信息、资金余额、订单历史、成交记录、K线数据、持仓信息（如为合约账户）。

4、确认不勾选「交易」、「资金划转」、「提现」、「子账户管理」等任何写入类权限。

5、点击「提交」完成创建，系统将显示API Key、Secret Key与Passphrase三项凭证。

二、绑定IP白名单与设备指纹

限制API调用来源是防止密钥泄露后被滥用的关键手段。OKX支持基于IP地址和MAC地址的双重访问控制，确保仅授权设备可发起请求。

1、在API密钥列表中，找到刚创建的只读密钥，点击右侧「编辑」图标。

2、开启「IP白名单」开关，输入你用于采集数据的服务器公网IP或本地设备出口IP（支持单IP或CIDR格式，如192.168.1.100/32）。

3、若使用固定终端运行脚本，勾选「绑定MAC地址」，系统将自动识别并锁定当前设备网卡物理地址。

4、保存设置后，该密钥将**仅允许来自指定IP及绑定设备的HTTP请求通过验证**。

三、禁用Passphrase或设为空值

Passphrase是OKX API签名流程中的可选参数，仅在启用交易类权限时强制要求。对于纯查询用途，可安全地将其设为空值或跳过传递，减少敏感字段暴露面。

1、在API管理页面编辑该密钥时，定位到「Passphrase设置」区域。

2、清空已填写的Passphrase内容，或点击「不设置」选项。

3、确认提示“此操作不影响查询类接口调用”，点击「保存」。

4、后续调用如/api/v5/account/balance或/api/v5/public/tickers时，**无需在请求头中携带passphrase字段**。

四、使用Flag参数切换至模拟环境

即使仅为读取数据，也建议优先在OKX模拟盘（Sandbox）环境中调试与部署。模拟环境返回真实结构响应，但不触达实盘账户，规避误操作或逻辑漏洞导致的数据误判。

1、在API管理页面创建新密钥时，选择「测试环境」模式（对应flag=1）。

2、初始化客户端时显式传入flag="1"参数，例如：TradeAPI(api_key, secret_key, passphrase, False, "1")。

3、所有请求将自动路由至模拟盘网关，返回的数据来源于沙盒账户快照，**与实盘资产完全隔离**。

4、确认脚本稳定运行72小时以上且日志无异常后，再申请开通实盘只读密钥。

五、定期轮换密钥并监控调用日志

长期有效的API密钥会累积暴露风险。OKX提供密钥生命周期管理功能，支持手动停用旧密钥并生成新凭证，同时保留完整调用审计轨迹。

1、进入「API管理」→「调用日志」页签，筛选最近7天内该密钥的全部请求记录。

2、检查每条日志的path字段是否均为只读接口（如/account/balance、/trade/fills），**排除任何含/trade/order或/asset/transfer的异常路径**。

3、点击密钥右侧「停用」按钮，系统立即终止其全部权限。

4、重新执行「一、创建仅含查询权限的API密钥」流程，生成新密钥并更新客户端配置文件。