HTX 设置 API 密钥的详细步骤和注意事项
什么是 API 密钥？
API 密钥（API Key）是一段由字母和数字构成的唯一标识符，它像一把数字钥匙，授权第三方应用程序以安全且受控的方式访问您的 HTX 账户数据并执行相应的操作，无需您直接暴露账户密码等敏感信息。每个API密钥都是特定于用户的，并且可以根据需求配置不同的权限。
通过使用 API 密钥，您可以实现交易策略的自动化执行，并无缝连接到各种交易机器人、量化交易平台和自定义交易应用程序。这极大地提高了交易效率，让您可以全天候不间断地执行复杂的交易策略，捕捉市场机会。API密钥能够使您的交易策略摆脱人工干预，实现程序化操作。
务必注意，API 密钥的安全性至关重要。如同保管银行卡密码一样，您需要对 API 密钥进行妥善保管。一旦 API 密钥泄露给未经授权的第三方，可能会导致您的账户面临风险，例如被用于恶意交易或资产盗窃。因此，定期轮换 API 密钥，并启用额外的安全措施（例如 IP 地址限制），是保护您的 HTX 账户安全的必要措施。同时，务必只将API密钥授予您信任的应用或平台。
设置 API 密钥的步骤
- 登录你的 HTX 账户:
- 进入 API 管理页面:
- 创建新的 API 密钥:
- 填写 API 密钥信息:
- 备注 (API 名称/API Name): 为你的 API 密钥指定一个具有描述性的名称，以便于识别和管理。例如，你可以根据 API 密钥的用途进行命名，如“量化交易机器人”、“数据分析脚本”、“个人账户管理”等。清晰的命名有助于你在拥有多个 API 密钥时区分它们的功能和用途。
- 权限 (Permissions): 这是 API 密钥设置中最为关键的部分，务必谨慎选择。HTX 通常会提供以下几种类型的权限供你选择：
- 只读 (Read-Only): 此权限允许 API 密钥读取你的账户信息，包括账户余额、交易历史、持仓情况等。但它不允许 API 密钥执行任何交易操作，例如买入或卖出加密货币。只读权限适用于需要监控账户状态但不需要进行交易的应用程序或服务。
- 交易 (Trade): 此权限授权 API 密钥执行交易操作，包括买入和卖出各种加密货币。启用此权限后，API 密钥可以代表你进行交易活动。务必谨慎授予此权限，并确保你信任使用该 API 密钥的应用程序或服务。
- 提现 (Withdraw): 此权限允许 API 密钥从你的 HTX 账户中提取资金到指定的外部地址。 强烈建议你不要轻易启用此权限，除非你有绝对的必要，并且对使用该 API 密钥的应用程序或服务具有充分的信任。 提现权限的滥用可能导致资金损失。
- 划转 (Transfer): 此权限允许 API 密钥在你的不同 HTX 子账户之间进行资产划转。如果你有多个 HTX 子账户，并且需要自动化地在这些账户之间转移资金，可以考虑启用此权限。
- 绑定 IP 地址 (可选):
- 双重验证 (2FA):
- 获取 API 密钥:
请确保你已成功注册并登录你的 HTX (原火币全球站) 账户。你需要提供注册时使用的用户名（通常是邮箱地址或手机号码）以及对应的密码进行登录。如果你的账户启用了双重验证 (2FA)，系统将提示你输入由验证器应用（如 Google Authenticator 或 Authy）生成的验证码，或者通过短信接收到的验证码。
成功登录后，将鼠标指针悬停在页面右上角的“账户头像”或类似的账户图标上，这将展开一个下拉菜单。在下拉菜单中，寻找并点击“API 管理”、“API 密钥”或者类似的选项。请注意，不同版本的 HTX 界面在设计上可能略有差异，API 管理入口通常位于账户设置、安全设置或用户中心等相关区域内。
在 API 管理页面，你应该能够找到一个“创建 API”、“生成 API 密钥”或类似的按钮。点击此按钮，系统将引导你开始创建新的 API 密钥。通常，HTX 会要求你确认身份，以确保是你本人在进行操作。
在创建 API 密钥的过程中，你需要提供以下关键信息：
在选择 API 密钥的权限时，请务必遵循“最小权限原则”，即只授予 API 密钥完成其特定任务所需的最小权限集合。例如，如果你的应用程序只需要查看账户余额，那么只需要授予“只读”权限，而无需授予“交易”或“提现”权限。这将显著降低 API 密钥被盗用后可能造成的损失。
为了进一步提升 API 密钥的安全性，HTX 允许你将 API 密钥与一个或多个特定的 IP 地址进行绑定。这意味着只有来自这些预先授权的 IP 地址的请求才能够使用该 API 密钥。如果请求来自未授权的 IP 地址，将被拒绝。这是一种有效的安全措施，可以防止 API 密钥被未经授权的第三方使用。如果你使用部署在具有固定 IP 地址的服务器上的交易机器人，强烈建议你绑定 IP 地址。如果你的 IP 地址是动态变化的，请不要启用此功能，否则 API 密钥将无法正常工作。
在完成 API 密钥的各项设置后，HTX 通常会要求你进行双重验证 (2FA)，以确认该操作确实是你本人发起的。你需要按照页面上的提示，输入由你的谷歌验证器 (Google Authenticator)、Authy或其他类似的 2FA 应用程序生成的验证码，或者输入通过短信接收到的验证码。
完成以上所有步骤后，你将获得你的 API 密钥 (API Key) 和密钥 (Secret Key)。 请务必高度重视对你的 Secret Key 的保护，切勿将其泄露给任何第三方。Secret Key 只能在创建 API 密钥时显示一次，创建完成后将无法再次查看。 建议你立即将 API 密钥和 Secret Key 复制并保存到安全的地方，例如使用密码管理器软件（如 LastPass、1Password 或 KeePass）进行加密存储。避免将 Secret Key 存储在不安全的地方，例如明文文本文件或电子邮件中。
使用 API 密钥的注意事项
- 权限控制: 始终遵循最小权限原则，只赋予 API 密钥所需的最小权限。这意味着在创建 API 密钥时，仅勾选执行所需操作的权限，例如只读权限、交易权限或者行情数据访问权限。特别是提现权限，务必极其谨慎使用，非必要情况下，绝对不要开启提现权限。考虑使用不同的 API 密钥分别管理不同的功能，例如一个密钥用于获取市场数据，另一个密钥用于交易，从而进一步降低风险。
- IP 地址绑定: 如果你的服务器具有固定 IP 地址，强烈建议将 API 密钥绑定到这些 IP 地址。这样，即使 API 密钥泄露，也只有来自指定 IP 地址的请求才能被验证通过，从而大大降低了被恶意利用的风险。绑定 IP 地址后，应定期检查 IP 地址列表是否仍然有效，并及时更新。了解 HTX 平台支持的 IP 地址绑定规则和数量限制。
- 定期更换 API 密钥: 为了提高安全性，建议你定期更换 API 密钥。密钥的生命周期越短，被破解或泄露的风险就越小。你可以删除旧的 API 密钥并创建一个新的 API 密钥。在更换 API 密钥后，务必立即更新所有使用该密钥的应用程序或脚本，确保它们能够正常工作。考虑使用自动化工具来定期生成和更新 API 密钥。
- 监控 API 密钥活动: 定期检查你的 API 密钥的使用情况，例如交易记录、账户余额、API 调用频率等。如果发现异常活动，例如未经授权的交易、异常的 API 调用模式或账户余额的异常变动，立即禁用该 API 密钥并采取相应的安全措施，例如修改账户密码、联系 HTX 客服等。 HTX 通常会提供 API 请求日志，可以用于审计和监控。设置告警机制，以便在检测到异常活动时能够及时收到通知。
- 不要在公共场所或不安全的网络环境下使用 API 密钥: 避免在公共场所或不安全的网络环境下使用 API 密钥，以防止被窃取。公共场所的网络通常存在安全隐患，容易受到中间人攻击等威胁。使用 API 密钥时，务必确保连接到安全的网络，例如使用 VPN 或移动数据网络。避免在公共电脑或设备上存储 API 密钥。
- 谨防钓鱼网站: 务必确认你访问的是 HTX 的官方网站，地址栏中应显示正确的域名和安全证书。不要点击来历不明的链接或扫描未知来源的二维码，以防止被引导至钓鱼网站。钓鱼网站通常会伪装成官方网站，诱骗用户输入 API 密钥和密码等敏感信息。仔细检查网站的 URL 和 SSL 证书，确保其真实有效。使用 HTX 官方提供的 API 文档和 SDK，避免使用非官方的第三方工具。
- Secret Key 的保管: Secret Key 是访问你的 HTX 账户的钥匙，务必妥善保管，不要将其泄露给任何人。将 Secret Key 存储在安全的地方，例如使用加密的密钥管理工具或硬件钱包。不要将 Secret Key 存储在明文文件中或上传到公共代码仓库。对 Secret Key 进行加密存储，并定期备份。
- 禁用不使用的 API 密钥: 如果你不再使用某个 API 密钥，应立即禁用它。未使用的 API 密钥仍然存在安全风险，即使你已经不再使用它们。禁用 API 密钥后，应确保所有使用该密钥的应用程序或脚本都已停止运行。定期检查 API 密钥列表，删除或禁用不再需要的密钥。
- 了解 API 平台的安全性： 当你使用第三方 API 平台时，仔细阅读他们的隐私条款和安全措施，确保他们采取了充分的安全措施来保护你的 API 密钥。选择信誉良好、安全性高的平台。了解第三方平台的数据安全策略、身份验证机制和访问控制措施。确保第三方平台符合相关的安全标准和法规。谨慎授权第三方平台访问你的 HTX 账户，仅授权必要的权限。
- 定期审计： 定期审计你的 API 使用情况，确保所有请求都是合法的，没有未经授权的访问。你可以查看 HTX 提供的 API 请求日志，分析 API 调用模式、请求来源和交易记录。审查 API 密钥的权限配置，确保它们仍然符合最小权限原则。定期进行安全漏洞扫描，及时发现并修复潜在的安全问题。
