摘要：按欧易帮助中心与 API 文档整理：怎么创建 API 密钥，读取、交易、提币权限分别能做什么，只读密钥的边界，IP 白名单最多 20 个地址怎么核对，以及怀疑泄露时先删密钥、停权并排查提币。查询日期 2026-11-11。不荐币，不演示真实密钥。

先说合规边界：2021 年人民银行等十部门《关于进一步防范和处置虚拟货币交易炒作风险的通知》把虚拟货币相关业务定性为非法金融活动；2026 年 2 月银发〔2026〕42号延续相关口径并对 RWA「境内严禁、境外严管」。欧易用户协议不向中国大陆居民提供服务。本文只整理欧易帮助中心和 API 文档里已经写明的字段与步骤，给已在合规地区使用欧易的读者核对权限、IP 白名单和泄露后的处置，不构成投资建议，也不教人绕开地区限制。查询日期：2026-11-11（北京时间）。文中不粘贴、不演示真实的 API Key、Secret 或 Passphrase。

本站之前写过通用的交易所 API Key 安全设置，讲的是各所共通的最小权限和白名单习惯。本文只写欧易：创建页上要填哪些字段，读取、交易、提币分别能做什么，只读密钥能不能下单、会不会因闲置被删，IP 白名单怎么核对，以及怀疑密钥泄露时官方要求先做哪几步。子账户 isolation、主账户尽量不挂交易密钥，见交易所子账户怎么用。账户层面的 2FA、通行密钥和提现白名单，见交易所账户安全设置清单。

帮助中心《欧易 API 常见问题》查询日显示更新于 2026-11-09。API 文档对权限和绑定 IP 的口径与帮助中心一致，字段以这两处当前写法为准。页面文案可能随版本微调。

1. 先确认你能创建密钥，再按官方路径打开创建页

帮助中心在「创建 API key 的要求是什么？」里写明：创建 API 密钥需要最低 100 美元的资产管理规模（AUM）余额；主账户或子账户都要 AUM 大于 100 美元（文中也写作 AUM > 100U）才能创建。达不到这个门槛时，创建走不下去，先去账户资产页核对 AUM，不要反复改备注名或权限。

欧易 API 交易权限与只读密钥：IP 白名单与泄露应急-有序
欧易帮助中心：创建 API 密钥需要最低 100 美元 AUM；主账户或子账户都要 AUM 大于 100U（2026-11-11 截自《欧易 API 常见问题》）

创建路径按同一篇文章：

  • App 端：登录欧易账号，点击左上角的九宫格，往下滑，点击「API」，再点「创建 API key」。填写备注名，点选账户及用途，输入 IP 地址白名单，点选权限，输入密码短语。
  • Web 端：登录后点击右上角头像，进入「API 与连接」，再点「创建 API key」。填写项相同，密码短语在网页文案里也写作「密码 (Passphrase)」。
欧易 API 交易权限与只读密钥：IP 白名单与泄露应急-有序
欧易帮助中心：App 与 Web 创建 API key 的路径；每个 key 最多关联 20 个地址，用逗号或空格分隔；密码短语遗失需重新创建（2026-11-11 截自《欧易 API 常见问题》）

注意里有两条要单独记下：

  1. IP 地址有助于保护 API key 安全。每个 key 最多可关联 20 个地址，关联时用逗号或空格分隔。
  2. 密码短语是调用 API 接口的必要参数。要自己保管；一旦遗失，无法找回，只能重新创建 API。

API 文档把创建成功后必须记住的三样信息写成：平台生成的 APIKey、SecretKey，以及你自己提供的 Passphrase。平台只保存 Passphrase 的哈希，用来验证，忘记无法恢复。帮助中心「管理或编辑」一节还写：「创建后你无法查看助记词。如果丢失，需要删除现有密钥并重新创建。」这里的「助记词」是该页中文表述，不要理解成钱包助记词；创建时真正要离线保存的是 API Key、Secret 和 Passphrase。这三样都不要发到聊天工具、邮件或截图里。

给子账户用的密钥，要在目标子账户下创建，并使用该子账户的权限、密码短语和站点域名。帮助中心写明：不要混用主账户和子账户的 API Key、Secret 或密码短语。

还没有欧易账户、且确认所在地区可合规使用的读者，可通过 okx.com/join/2157189586 打开官网，在「API 与连接」里按上面的字段自行创建和核对。

披露：这是本站的欧易邀请链接，通过它注册本站可能获得返佣；你也可以直接访问官网。链接带 rel="sponsored nofollow"。

需要对照币安一侧的只读密钥和 IP 限制时，可用 binance.com/join?ref=L5KY6YCR（邀请码 L5KY6YCR），规则以币安帮助中心为准，不要把欧易的字段名抄过去。

披露：上面是本站的交易所邀请链接，通过它注册本站可能获得返佣，一般不改变你的标准费率；你也可以直接打开官网、不填邀请码。链接带 rel="sponsored nofollow"。

2. 读取、交易、提币：先勾最小集合

API 文档把 APIKey 权限写成三类，一个 Key 可以有一个或多个：

  • 读取：查询账单和历史记录等读权限。
  • 交易：可以下单和撤单、转账、调整配置等写权限。
  • 提现：可以进行提币。

帮助中心在「我如何管理或编辑 API key？」里，把可编辑的权限同样列成读取、交易、提币。管理路径是：登录后进入「个人资料 > API」，在现有密钥列表里点开要管理的那一把，可以查看名称、权限和关联的 IP 白名单，也可以编辑名称、权限或绑定的 IP；不再需要时，删除该密钥。

欧易 API 交易权限与只读密钥：IP 白名单与泄露应急-有序
欧易帮助中心：在「个人资料 > API」查看名称、权限和 IP 白名单；可编辑读取、交易、提币或绑定 IP，不再需要则删除；创建后无法再查看已生成凭据（2026-11-11 截自《欧易 API 常见问题》）

只读用途只勾「读取」。记账、对账、看板类工具通常到这一步就够了。需要程序替你下单、撤单时，再勾「交易」。提币权限能通过 API 发起提币，跟单或交易类工具用不到这一项；没有明确、且你自己能控制的提币需求，不要勾。

帮助中心另外写了三种可能随账户资格出现的权限：

  • 划转：允许密钥在你的账户之间划转资金，适用于所有账户。
  • 借币：允许该密钥借币、还币及管理借币，仅当账户具备相应功能资格时可见。
  • 赚取：允许该密钥订阅和赎回赚取产品，仅当账户具备所需功能资格时可见。

同一段后面有一句容易漏掉的历史口径：如果这把 API Key 之前已启用交易权限，则在此次更新后，划转、借币、赚取这三项权限将自动激活，无需手动设置。早年创建、当时只记得勾了「交易」的密钥，打开管理页看一眼实际勾选状态，比凭印象判断更靠谱。

欧易 API 交易权限与只读密钥：IP 白名单与泄露应急-有序
欧易帮助中心：划转、借币、赚取三项权限的含义；此前已启用交易权限的 Key，更新后这三项会自动激活（2026-11-11 截自《欧易 API 常见问题》）

模拟盘要单独创建模拟账户 API key，路径是：交易 → 模拟交易 → 个人中心 → 创建模拟账户 API key。真实账户和模拟账户的密钥不能混用。帮助中心对错误码 50101 的说明是：真实账户调用要用真实账户的 API key，并且请求头里 x-simulated-trading 为 0；模拟账户则要用模拟盘密钥，并把该参数设为 1。

3. 只读密钥能做什么，不能做什么

只勾了「读取」的密钥，按文档可以查询账单、历史记录等账户数据，不能下单。帮助中心在模拟交易错误码 50123 的说明里写过一句对应的话：该错误表示 API Key 没有数字货币交易权限；仅拥有读取权限的 API Key 可以查询账户数据，但无法下单。 真实盘同样按权限执行，不要指望只读密钥「试一下单」。

只读还有一条和有效期有关的规则。帮助中心「API key 会过期吗？」写明：

  • 未绑定 IP 且具有交易或提币权限的 API 密钥，在 14 天无活动后将被自动删除。
  • 如果密钥用于调用需要身份认证的私有或账户相关接口（如查看账户余额、账单数据或下单），则不会被视为无活动状态。
  • 只有绑定了 IP，或特定权限的只读 API 密钥，才不会过期。
欧易 API 交易权限与只读密钥：IP 白名单与泄露应急-有序
欧易帮助中心：未绑定 IP 且具有交易或提币权限的密钥，14 天无活动后将被自动删除；绑定了 IP 或特定权限的只读密钥才不会过期（2026-11-11 截自《欧易 API 常见问题》）

API 文档对「什么算被使用过」写得更细：用户调用了需要 APIKey 鉴权的接口，才会被视为 APIKey 被使用；调用不需要鉴权的公开接口，即使传入了 APIKey 信息，也不算使用过。WebSocket 只有在登录的时候才被视为使用过，登录后的订阅或下单，文档提醒不会被算进「被使用」。一把看起来一直连着行情推送的交易密钥，如果没有绑 IP，仍可能因为没有鉴权调用而在 14 天后被删。模拟盘的 API key，文档写明不会按这条规则删除。

未绑定 IP 且拥有交易或提币权限的密钥，文档还提到可以在安全中心看到最近使用记录。核对自己有没有陌生调用时，可以去那里对一下时间。

4. IP 白名单怎么核对

官方在 API 文档的安全性一节建议将 APIKey 绑定 IP，帮助中心也写「IP 地址有助于保护你的 API key 安全」。绑上之后，只有白名单里的来源能调用这把密钥。

核对时对准这几项：

  1. 数量和分隔符：每个 key 最多关联 20 个地址，用逗号或空格分隔。
  2. 格式：API 文档补充，支持 IPv4、IPv6 和网段格式。填写前先确认是服务器或固定出口的公网 IP，不要把内网地址写进去。
  3. 管理页上实际绑定的列表：在「个人资料 > API」点开该密钥，查看「关联的 IP 白名单」是不是你以为的那几条。刚改完或第三方软件替你创建的密钥，都要回这里看一眼，不要只信软件本地填的值。
  4. 接口返回的 ip 字段：API 文档在 REST 验证相关说明里写过，ip 是当前请求 API key 绑定的 IP 地址，多个 IP 用半角逗号隔开；如果没有绑定 IP，会返回空字符串 ""。权限字段 perm 的取值是 read_only、trade、withdraw。需要程序侧自查时，以接口返回为准。

没有绑定 IP 的交易或提币密钥，任何拿到三样凭据的来源都可能调用，并且还要面对上面的 14 天闲置删除。给长期跑的交易程序用时，优先绑固定 IP。家庭宽带或手机热点是动态 IP，白名单会经常失效，这种情况更适合把程序放到有固定公网 IP 的机器上，而不是把白名单留空。

有一类例外写在错误码 50110 的说明里：绑定第三方软件时，如果当前 API key 类型与第三方软件绑定不兼容，可能报 50110。官方给出的处置是：尝试申请交易类型、且不绑定 IP 列表的 API key，再重新连接。这是为了兼容部分第三方软件，代价是这把密钥不再限制来源。只有在确认软件可信、权限已经收到最小（尤其不要开提币）之后，才考虑按官方这条说明去建一把不绑 IP 的交易密钥。

5. 怀疑泄露时：先删密钥，再按官方清单排查

帮助中心《账号出现异常操作，该如何进行安全排查？》写的第一句话是：发现账号存在异常操作时，请立即联系官方客服协助冻结账号，并按下面的步骤自查。和 API 直接相关的是第 3 步「检查 API 授权」：检查是否存在非本人创建的 API 密钥，如有请及时删除。App 路径是：左上角「全功能图标」→「工具栏」→「API」，然后排查和删除。Web 端则回到「个人资料 > API」，把不认识或不再需要的密钥删掉。只卸载第三方软件，密钥仍然有效。

欧易 API 交易权限与只读密钥：IP 白名单与泄露应急-有序
欧易帮助中心《账号出现异常操作，该如何进行安全排查？》：先联系官方客服协助冻结账号；第 3 步检查是否存在非本人创建的 API 密钥并及时删除（2026-11-11 截自帮助中心）

同一篇文章还要求同步做这些核对，避免只删了一把密钥、账户里还有别的缺口：

  1. 重置登录密码。
  2. 排查谷歌验证器：非本人绑定的立刻重置；尚未绑定的尽快启用。
  3. 检查登录设备，移除异常设备。
  4. 检查 C2C 收付款方式，删除非本人添加的收款账户。
  5. 检查免认证地址：进入资产 → 提币 → 地址簿，删除非本人设置的免认证地址。提币地址簿和白名单的冷却期、误加处理，见欧易提币地址簿与白名单。
  6. 检查通行密钥，非本人创建的立刻重置。
  7. 排查绑定的社交账号。

删密钥之后，到资金流水和提币记录里把最近一档对一遍：有没有你没下过的单，有没有你没发起过的提币或划转。提币一旦上链，通常无法自行撤销。若发现陌生提币或陌生地址被写入地址簿，只通过 App 或官网内的入口联系客服。接到自称「客服」的私信，先走官方验证渠道，不要把验证码或完整密钥发出去。

帮助中心在「如果页面显示 API 无法使用，我应该提供哪些信息？」里写明：提供接口、HTTP 方法、完整错误代码或消息、发生时间、账户站点、网络环境，以及已脱敏的请求和响应。切勿发送 API Secret、Passphrase、认证码或未脱敏的签名。 客服不会向你索要完整密钥来「帮你恢复」。

Passphrase 或 Secret 自己弄丢了，但还没有外泄迹象时，按官方口径也只能删除旧密钥、再创建一把新的，没有找回通道。新密钥的权限和 IP 白名单要重新勾、重新核，不要把旧密钥的截图留下来「备用」。

相关阅读

来源与查询日期

界面文案随 App 或网页版本可能微调，以你登录后页面为准。风险提示： API 密钥、Secret 和 Passphrase 一旦泄露，他人可能在你不打开界面的情况下查询账户、下单，甚至在误开提币权限时把资产转出；本文不构成投资、法律或操作保证，也不向中国大陆居民提供开户或交易服务。