如何在BitMEX平台上设置API密钥
1. 登录BitMEX账户
访问BitMEX官方网站 (www.bitmex.com)。使用已注册的用户名和密码登录账户。若尚未注册，请先完成注册流程。BitMEX可能要求提供身份验证信息，以满足了解你的客户（KYC）和反洗钱（AML）法规要求。
务必启用双重验证（2FA），以增强账户安全性。2FA通常通过基于时间的一次性密码（TOTP）应用程序（例如Google Authenticator、Authy）实现。强烈推荐使用硬件安全密钥，例如YubiKey或Ledger Nano S/X，进行更高级别的保护。硬件密钥提供防网络钓鱼和恶意软件保护，有效防止账户被盗用。启用2FA后，每次登录或执行敏感操作（如提款）时，都需要输入通过2FA设备生成的验证码。
定期检查账户活动日志，监控任何异常登录尝试或交易活动。启用电子邮件和短信通知，以便及时了解账户动态。如发现任何可疑活动，立即更改密码并联系BitMEX客户支持。
2. 导航至API密钥管理页面
成功登录账户后，请注意页面右上角的用户账户图标或用户名显示。将鼠标指针悬停在该账户图标或用户名上，系统将会自动弹出一个下拉菜单，其中包含了账户相关的各项管理选项。
在该下拉菜单中，仔细查找并点击明确标注为“API密钥”或“API管理”的选项。此操作会将您直接导向API密钥管理页面。在该页面，您可以执行以下关键操作：
- API密钥的创建： 生成新的API密钥，用于访问交易所的各种API接口。
- API密钥的管理： 查看、修改现有API密钥的权限和状态，例如启用或禁用特定API密钥的功能。
- API密钥的删除： 撤销不再需要的API密钥，以确保账户安全。一旦API密钥被删除，使用该密钥进行的任何API调用都将失效。
请务必妥善保管您的API密钥，避免泄露给他人。建议定期更换API密钥，并根据实际需求配置最小权限原则，以最大程度地降低安全风险。
3. 创建新的API密钥
在API密钥管理页面，您会找到一个醒目的“创建API密钥”按钮。点击此按钮，您将启动API密钥的创建过程，并开始配置您的首个API密钥。系统将呈现一个表格，要求您提供关键信息，以便精确配置API密钥的权限和功能。
该表格通常包含以下字段，您需要仔细填写：
- 密钥名称/描述: 为您的API密钥提供一个易于识别的名称或简短描述。这将帮助您在多个API密钥中轻松区分和管理它们，例如“交易机器人API密钥”或“只读数据访问密钥”。清晰的命名约定至关重要，特别是当您维护多个密钥时。
- 权限范围/授权范围: 这是最关键的部分。您需要详细选择此API密钥将被授予的特定权限。常见的权限包括交易、提现、账户余额查询、历史数据访问等。务必坚持“最小权限原则”，即仅授予密钥执行所需任务的最低必要权限，以降低潜在的安全风险。例如，如果密钥仅用于读取市场数据，则不要授予交易或提现权限。
- IP地址白名单（可选）: 为了进一步增强安全性，您可以指定允许使用此API密钥的特定IP地址。只有来自这些已列入白名单的IP地址的请求才会被接受。这可以有效防止密钥被未经授权的第三方使用。如果您知道API密钥将在特定的服务器或服务上使用，强烈建议配置IP地址白名单。
- 过期时间（可选）: 设定API密钥的有效期。定期轮换API密钥是最佳安全实践。通过设置过期时间，您可以强制定期更换密钥，从而减少密钥泄露后造成的潜在损害。您可以设置短至几天或长至几个月的有效期，具体取决于您的安全策略。
- 二次验证（可选）: 某些平台可能支持为API密钥启用二次验证（2FA）。这增加了额外的安全层，即使密钥本身泄露，攻击者也需要通过二次验证才能使用它。
填写完所有必要信息后，仔细检查您提供的所有信息，确保权限设置正确且符合您的需求。确认无误后，提交表格。系统通常会要求您进行身份验证，例如输入密码或使用二次验证码，以确认您的操作。创建成功后，您将获得API密钥和密钥Secret。请务必安全地存储这些信息，切勿分享给任何人。密钥Secret仅会显示一次，之后将无法再次查看，如果丢失，您需要重新生成新的API密钥。
4. 配置API密钥权限
创建API密钥最重要的环节在于配置其权限。BitMEX 提供细粒度的权限控制，务必根据 API 密钥的具体用途审慎选择合适的权限组合。不当的权限配置可能导致安全风险或功能受限。
BitMEX 的 API 密钥权限管理允许用户精确控制密钥可以执行的操作。以下是常用的权限选项及其详细说明，请仔细评估每个权限的必要性：
- 账户（Account） : 允许访问账户相关信息，包括但不限于可用余额、已实现盈亏、未实现盈亏、交易历史记录、资金划转记录以及保证金信息。此权限通常用于监控账户状态和进行报表分析。请注意，即使是只读账户信息也可能被恶意利用，例如探测账户规模。
-
订单（Order）
: 允许创建、修改和取消订单。具体操作包括：
- 创建订单： 下达市价单、限价单、止损单等各种类型的订单。
- 修改订单： 更改订单的价格、数量或其他参数。
- 取消订单： 撤销已挂出的订单。
- 提现（Withdraw） : 允许发起提现请求，将资金从 BitMEX 交易所转移到外部地址。 强烈建议不要授予此权限给任何非您绝对信任的应用程序。 如果 API 密钥被泄露，拥有提现权限的攻击者可以直接将您的资金转移到其控制的地址，造成不可挽回的损失。除非您明确需要在第三方应用程序中执行提现操作，否则请务必禁用此权限。启用此权限时，务必开启双重验证 (2FA) 等安全措施，并密切监控提现记录。
- 访问全局权限（Access Global Permissions）： 允许访问全局范围的数据，例如实时市场数据（深度、成交记录）、指数数据、结算信息等。此权限通常用于市场分析或构建数据驱动的交易策略。 通常情况下，个人交易者或小型交易团队不需要此权限，因为它不会影响账户管理或订单执行。滥用此权限可能导致服务器压力增大，请谨慎使用。
在配置 API 密钥权限时，始终遵循最小权限原则：只授予应用程序执行其所需任务的最小权限集。定期审查和更新 API 密钥权限，确保其与应用程序的需求保持一致。禁用不再使用的 API 密钥，以降低安全风险。
详细说明权限类型：
- 无（None）： 该API密钥没有任何权限。 这对于只需要访问公开、非敏感数据的应用程序或服务来说非常有用。例如，某些行情展示工具可能只需要获取交易对的价格信息，而无需进行任何交易操作。
- 只读（Read-Only）： 允许读取数据，但不能进行任何更改或执行任何操作。这是一个安全的权限选项，特别适合需要监控市场数据、账户余额、历史交易记录等信息的应用程序。只读权限可以有效地防止意外或恶意的数据修改，降低潜在的安全风险。
- 写（Write）： 允许修改数据，例如提交订单、修改账户设置、撤销挂单等。 赋予写权限意味着API密钥可以代表您执行操作，因此务必谨慎使用。在使用写权限时，应仔细审查代码逻辑，并采取额外的安全措施，例如IP地址白名单、交易金额限制等，以防止未经授权的操作。
选择适当的权限级别对于保护您的账户安全至关重要。 遵循最小权限原则是最佳实践。 例如，如果您的API密钥仅用于读取市场数据，则绝对不应授予任何写权限。 赋予API密钥不必要的权限会增加账户被盗用的风险。 定期审查和更新API密钥的权限设置也是一项重要的安全措施，确保其始终符合实际需求，并及时撤销不再需要的权限。
5. 设置API密钥的IP白名单 (可选但强烈建议)
为了显著提高API密钥的安全性，强烈建议配置IP白名单。IP白名单机制限定了只有来自预先授权IP地址的请求才能使用该API密钥。 即使API密钥意外泄露，未经授权的攻击者也无法利用该密钥，因为他们的IP地址不在白名单之中，从而无法访问你的账户和数据。
配置IP白名单的过程通常需要你提供一个或多个允许访问该API密钥的IP地址。每个IP地址应单独占据一行。 除了单个IP地址外，你还可以使用CIDR（无类别域间路由）表示法来定义一个IP地址范围，从而允许来自一个子网的所有设备访问。例如，
192.168.1.0/24
表示允许从
192.168.1.0
到
192.168.1.255
范围内的所有IP地址访问该API密钥。 需要精确规划你的IP地址范围，确保只有必要的服务和应用程序才能访问，从而最大限度地降低潜在的安全风险。定期审查和更新IP白名单，确保其与你的网络配置保持一致，是维护系统安全的关键步骤。考虑使用动态DNS服务与IP白名单结合使用，如果你的IP地址会频繁更改，则这样做会很有帮助。
设置IP白名单的步骤：
- 定位API密钥管理页面： 登录你的交易所或服务提供商平台，导航至API密钥管理或开发者中心。在账户安全设置或API文档中寻找“IP地址限制”、“IP访问控制”或类似的选项。
-
指定允许的IP地址或范围：
在IP白名单设置区域，输入允许访问API密钥的特定IP地址。你可以逐个添加IP地址，或者使用CIDR（无类别域间路由选择）表示法指定IP地址范围。例如，
192.168.1.0/24表示允许192.168.1.0到192.168.1.255范围内的所有IP地址。 - 验证并保存配置： 仔细检查输入的IP地址或范围是否正确，确保没有遗漏需要授权的IP。确认设置后，点击“保存”、“应用”或类似的按钮来保存更改。某些平台可能需要二次验证，例如通过电子邮件或短信验证码。
设置IP白名单是增强API密钥安全性的重要措施，可以有效防止未经授权的访问和潜在的滥用风险。 通过限制只有来自特定IP地址的请求才能使用API密钥，可以显著降低密钥泄露或被恶意利用的可能性。 如果你不确定你的公网IP地址，可以使用在线IP查询工具（例如
whatismyip.com
）获取。 建议定期审查和更新IP白名单，特别是当你的服务器或应用程序的IP地址发生变化时。
6. 输入API密钥名称 (可选)
在API密钥创建过程中，为其指定一个易于识别的名称是可选但强烈推荐的做法。 通过为每个API密钥赋予一个描述性的名称，可以极大地简化API密钥的管理和维护。 例如，如果该API密钥专门用于交易机器人，您可以将其命名为"TradingBot-StrategyAlpha"或"TradingBot-Arbitrage"。 类似地，如果API密钥用于访问市场数据源，则可以将其命名为"MarketData-SourceA"或"RealTimeDataFeed"。
清晰的命名约定在以下情境中尤为重要：
- 区分不同用途的密钥： 当您为不同的应用程序或服务创建多个API密钥时，命名可以帮助您快速区分每个密钥的用途。
- 审计和安全： 方便追踪特定密钥的使用情况，便于审计和安全审查。如果某个密钥出现异常行为，您可以立即识别并采取相应措施。
- 权限管理： 在拥有细粒度权限控制的系统中，根据API密钥的用途对其进行命名可以更方便地管理其权限。例如，您可以创建一个名为"ReportingAPI"的密钥，并仅授予其读取报告数据的权限。
- 团队协作： 如果团队成员共同管理API密钥，清晰的命名规范可以提高协作效率，避免混淆。
尽管API密钥名称是可选的，但强烈建议您为每个API密钥分配一个有意义的名称。这有助于您更好地组织、管理和保护您的API密钥。选择能够清晰反映API密钥用途的名称，并在整个开发和管理过程中保持一致的命名约定。
7. 提交创建API密钥请求
在精心填写所有必要的API密钥信息，例如密钥名称、权限范围、IP访问限制（如适用）以及任何其他安全配置选项后，点击“创建API密钥”按钮。为了确保请求的合法性和安全性，系统将提示你再次输入你的账户密码，或者根据你所启用的安全措施，进行双重身份验证（2FA）。此步骤旨在防止未经授权的API密钥创建，保护你的账户和资金安全。务必仔细核对所有信息，特别是权限范围，以避免不必要的风险。
8. 安全地保存您的API密钥与密钥对
成功创建API密钥后，BitMEX将会生成并展示您的API密钥（也称为Key ID，公钥）和密钥对（也称为Secret，私钥）。 务必采取一切必要的措施，以极其安全的方式保存这些关键信息。 密钥对是您访问BitMEX API的唯一身份凭证，它赋予您执行交易、获取数据以及管理账户的权限。
BitMEX出于安全考虑，将不会再次向您显示您的Secret私钥。 这意味着如果您不慎丢失了您的Secret私钥，您将无法恢复它。您必须立即删除当前的API密钥，并重新生成一个新的API密钥和密钥对。这是一个不可逆转的过程，强调了保护Secret私钥的重要性。
强烈建议您将API密钥（Key ID）和密钥对（Secret）存储在一个高度安全的环境中。 理想选择包括使用专业的密码管理器，例如LastPass、1Password或KeePass等。 另一种可接受的方法是将它们保存在一个经过强加密的文本文件中，并确保该文件受到严密的访问控制。
请务必避免将您的Secret私钥存储在任何公共代码库中，例如GitHub、GitLab等。 同样，避免将密钥对存储在任何未经保护的文件中，例如未加密的文本文档或电子表格。 密钥泄露可能导致严重的财务损失和安全风险，因此必须采取最高级别的安全措施。
9. 测试你的API密钥
在正式使用API密钥进行加密货币交易前，务必对其进行有效性测试，以确保密钥配置正确且具备预期的权限。您可以参考BitMEX官方API文档中提供的代码示例，或者利用API客户端工具，如Postman，构建并发送简单的API请求。 建议的操作包括查询账户余额，获取实时市场数据，或者执行其他非交易型的API调用。
如果API请求未能成功执行，请依照以下步骤进行排查：
- 密钥与密钥对校验： 仔细核对您输入的API密钥及其对应的密钥对是否完全一致。 区分大小写，避免复制粘贴过程中的错误。
- 权限验证： 确认您的API密钥拥有执行所需操作的权限。不同级别的API密钥具有不同的权限范围，可能无法执行某些特定的交易或数据查询操作。
- IP白名单审查： 如果您启用了IP白名单功能，请确保发起API请求的IP地址已添加到白名单中。 如果您的IP地址不在白名单内，BitMEX服务器将拒绝该请求。 请注意，动态IP地址可能会导致API连接问题。
- BitMEX服务器状态检查： 访问BitMEX官方网站或社交媒体渠道，确认BitMEX API服务器是否处于正常运行状态。 维护或服务器问题可能会导致API服务中断。
- 时间戳同步： 某些API要求请求的时间戳与服务器时间保持同步。 确保您的系统时间与BitMEX服务器时间一致，避免出现时间戳误差导致的认证失败。
- 请求格式和参数： 检查您的API请求格式是否正确，以及所有必需的参数是否已正确提供。 错误的请求格式或缺失的参数会导致API请求失败。 参考BitMEX API文档获取正确的请求结构。
10. 管理你的API密钥
在API密钥管理页面，你可以全面地查看、精细地修改以及安全地删除你的API密钥。API密钥是访问加密货币交易所或服务提供商API的凭证，妥善管理至关重要。定期审查你的API密钥列表，确认你只保留当前必要的密钥，并及时清除那些已经停止使用的密钥，降低潜在的安全风险。
API密钥的泄露可能导致严重的后果，例如未经授权的交易、数据泄露或账户被盗用。如果你的API密钥不幸泄露，或者你怀疑密钥可能面临安全风险，请立即采取行动，删除该密钥并重新生成一个新的。同时，也要审查与该密钥相关的任何活动，以便及时发现并处理任何异常情况。为了进一步提升安全性，建议启用双因素认证（2FA）并定期轮换你的API密钥。
常见问题解答
-
我应该如何保护我的API密钥？
-
避免暴露密钥： 切勿将API密钥硬编码到客户端代码（如JavaScript、移动应用）或提交到公共代码仓库（如GitHub、GitLab）。 恶意用户可以轻易地获取并滥用这些密钥。 应将API密钥存储在服务器端安全的位置，例如环境变量、密钥管理服务（KMS）或安全的配置文件中。
-
密码安全与双重验证： 关联到API密钥的账户务必使用高强度、唯一的密码。 启用双重验证(2FA)为账户增加了一层额外的安全保护，即使密码泄露，攻击者也需要通过第二重身份验证才能访问账户和API密钥。
-
IP白名单策略： 通过配置IP白名单，限制只有来自特定IP地址的请求才能使用API密钥。 这样，即使API密钥泄露，未经授权的IP地址也无法访问API服务。 定期审查和更新IP白名单，确保只包含授权的IP地址。
-
最小权限原则： 授予API密钥执行其所需操作的最小权限。 不要为API密钥分配过多的权限，以降低潜在的安全风险。 例如，如果API密钥仅用于读取市场数据，则不应授予其交易权限。
-
定期密钥轮换与监控： 定期更换API密钥（密钥轮换）是最佳安全实践。 监控API密钥的使用情况，检测异常活动。 如果发现可疑行为（例如，来自未知IP地址的请求或超出预期用量的请求），立即撤销并更换API密钥。
-
-
我忘记了我的API密钥对，怎么办？
由于安全原因，API密钥对一旦丢失将无法恢复。 BitMEX不会存储用户的API密钥。 你必须在BitMEX平台上删除当前的API密钥，然后重新生成一个新的API密钥对。 务必妥善保管新的API密钥对，并将其存储在安全的地方。
- 我可以使用多少个API密钥？
- 为什么我的API请求总是返回错误？
-
密钥验证： 仔细检查API密钥和密钥对是否正确输入。 区分大小写，并确保没有空格或其他字符错误。 API密钥和密钥对必须与BitMEX账户正确关联。
-
权限不足： 确认API密钥具有执行请求操作所需的权限。 例如，如果尝试下单但API密钥没有交易权限，则会收到错误。 检查API密钥的权限设置，并确保满足请求的要求。
-
IP白名单限制： 如果API密钥启用了IP白名单，请确保你的IP地址已添加到白名单中。 任何来自未授权IP地址的请求都将被拒绝。 检查你的公网IP地址，并将其添加到API密钥的IP白名单中。
-
BitMEX API服务状态： 访问BitMEX状态页面或社区渠道，确认BitMEX API服务器是否正常运行。 偶尔，服务器维护或技术问题可能导致API服务中断。 如果BitMEX API服务器存在问题，请耐心等待恢复。
-
请求格式与参数： 仔细阅读BitMEX API文档，确保你的API请求符合规范。 包括正确的请求方法（GET、POST、PUT、DELETE）、URL路径、请求头和请求体。 确保请求参数的格式、数据类型和取值范围符合API文档的要求。 常见的错误包括缺少必需参数、参数类型错误或参数值超出范围。
BitMEX允许用户根据需求创建和管理多个API密钥。 这种机制允许你根据不同的用途或应用程序创建独立的密钥，并为每个密钥分配特定的权限，提高安全性和管理效率。 仔细规划每个API密钥的用途，并根据最小权限原则配置权限。
API请求返回错误可能有多种原因，需要仔细排查：