Coinbase 如何开启 API 密钥
API 密钥是访问 Coinbase 强大功能的关键，它允许开发者和高级用户通过编程方式与 Coinbase 交易所互动，自动化交易，并构建自定义的加密货币应用程序。本文将详细介绍如何在 Coinbase 上开启 API 密钥，并强调一些重要的安全注意事项。
准备工作
在开始使用 Coinbase API 之前，充分的准备工作至关重要。您需要创建一个 Coinbase 账户。访问 Coinbase 官方网站，按照指示完成注册流程。注册成功后，务必完成账户的安全验证。Coinbase 提供了多种安全验证方式，其中双因素身份验证 (2FA) 是最常用的方法之一。强烈建议您启用 2FA，这会在您登录时要求输入密码之外的第二重验证码，例如通过 Google Authenticator 或短信接收的验证码，有效防止未经授权的访问，显著提高账户的安全性。除了账户安全，您还应该对 API 密钥的应用场景进行深入的思考和规划。您计划使用 API 密钥做什么？是进行自动化交易，实时监控市场价格，还是仅仅为了获取历史数据用于分析？不同的应用场景对 API 密钥的权限要求有所不同。例如，如果您的目标是进行交易，您需要拥有交易相关的权限；如果只是获取市场数据，只需拥有只读权限即可。明确应用场景有助于您更好地管理和保护您的 API 密钥，并减少潜在的安全风险。
开启 API 密钥的步骤
1. 登录 Coinbase 账户:
打开您的浏览器，访问 Coinbase 官方网站 (coinbase.com)。仔细检查URL确保其为官方地址，避免误入钓鱼网站。然后，使用您已注册的邮箱地址和密码，或者通过设置的两步验证方式（如短信验证码或身份验证器应用）登录您的 Coinbase 账户。务必启用两步验证，以增强账户的安全性，防止未经授权的访问。如若忘记密码，请使用官方提供的密码重置流程，切勿轻易相信非官方渠道提供的密码重置服务。
2. 导航至 API 设置页面:
成功登录Coinbase账户后，下一步是找到 API 设置页面，这是创建和管理 API 密钥的关键步骤。这个页面允许您生成、查看和管理您的 API 密钥，以便您的应用程序可以安全地访问您的Coinbase账户数据并执行交易。通常，您可以在用户设置、账户设置或开发者设置中找到相关选项。 请注意，具体的导航路径可能因Coinbase用户界面更新而略有不同，建议仔细浏览相关菜单。
- 个人资料设置: 仔细检查您的个人资料设置。 您可能会找到类似于 "API 访问"、"API 管理" 或 "开发者" 相关的选项。这些选项通常包含创建和管理 API 密钥的功能，以及设置API权限的选项。
- 安全设置: 有些情况下，出于安全考虑，Coinbase会将API设置归类在安全设置下。在这里，您可以找到与双因素身份验证、设备管理以及API密钥管理相关的设置。 请寻找与API密钥相关的任何条目，以便进行创建、修改或删除操作。
- 账户设置: 检查账户设置中的高级选项或开发者选项。部分平台将API设置隐藏在账户设置的更深层级。 务必留意任何与API密钥、应用程序集成或开发者权限相关的链接或按钮。
如果您无法直接找到 API 设置页面，可以尝试使用 Coinbase 的搜索功能，通常位于页面顶部或侧边栏。在搜索框中输入 "API"、"API 密钥"、 "API访问" 或 "开发者 API" 等关键词，系统应该能够快速定位到相关的设置页面。另外，Coinbase的帮助中心或常见问题解答部分也可能提供详细的导航指南，请善加利用。
3. 创建新的 API 密钥:
成功导航至 API 设置页面后，您将发现创建新 API 密钥的入口。 通常，您会看到一个醒目的按钮，标记为 "创建 API 密钥"、"生成新密钥" 或者类似的表述。点击此按钮将启动密钥生成流程。 务必仔细阅读创建 API 密钥过程中的任何提示或警告信息，以便正确配置密钥权限和安全性。
4. 填写 API 密钥信息:
接下来，您需要填写与您的 API 密钥相关的信息，以便更好地管理和使用它们。这些信息对于追踪密钥用途、授权访问以及确保账户安全至关重要。
- API 密钥名称: 为您的 API 密钥设定一个清晰且具有描述性的名称，以便于识别和管理。例如，如果您正在开发一个自动交易机器人，您可以将其命名为 "自动交易机器人"，或者如果您使用该密钥进行数据分析，则可以命名为 "数据分析"。一个好的命名约定能够帮助您快速区分不同的密钥及其用途。
- API 密钥描述: 提供一个简要而精确的 API 密钥用途描述。这将帮助您和其他人理解该密钥的授权范围和预期功能。例如，您可以描述为 "用于在 Coinbase Pro 上执行自动交易"，或者 "用于从 Coinbase 交易所获取历史市场数据"。 详细的描述有助于防止密钥被滥用或误用。
- 权限设置 (Scopes): 这是创建 API 密钥过程中最关键的步骤，因为它直接关系到您的账户安全。您需要根据密钥的实际用途，仔细且精确地选择 API 密钥的权限。过度授予权限可能会导致潜在的安全风险，而权限不足则可能导致应用程序无法正常工作。Coinbase 提供了多种权限选项，每个选项对应不同的操作和数据访问权限。详细的权限控制使您能够最小化潜在的安全风险，并确保应用程序只能访问其所需的资源。例如：
-
wallet:accounts:read: 授权读取您的账户余额和完整的交易历史记录。这意味着应用程序可以访问您的所有账户信息，包括可用余额、已完成的交易以及待处理的订单。请谨慎授予此权限，因为它允许应用程序监控您的财务状况。 -
wallet:accounts:write: 授权创建新的账户。这通常用于高级应用程序，例如需要自动管理多个子账户的交易平台。务必仅在绝对必要时才授予此权限，因为它允许应用程序创建和管理您的账户。 -
wallet:buys:create: 授权创建购买订单，允许应用程序自动进行购买操作。这意味着应用程序可以代表您在交易所下单购买加密货币。在授予此权限之前，请确保您完全信任该应用程序，因为它可能导致意外的购买行为。 -
wallet:sells:create: 授权创建出售订单，允许应用程序自动进行出售操作。类似于购买权限，此权限允许应用程序代表您在交易所下单出售加密货币。同样，在授予此权限之前，请确保您完全信任该应用程序。 -
wallet:transactions:read: 授权读取所有交易的详细信息，包括交易类型、金额、时间戳以及交易状态。这对于跟踪交易历史和进行审计非常有用。 -
trade:read: 授权读取实时和历史市场数据，包括价格、成交量和订单簿信息。这是量化交易和市场分析应用程序的常见需求。 -
trade:execute: 授权执行交易，包括下单、取消订单以及修改订单。这是自动交易机器人和量化交易平台的核心权限。在授予此权限之前，请务必进行充分的风险评估和安全审查。 -
payments:request: 授权请求付款，允许应用程序代表您向其他用户发起付款请求。 -
payments:send: 授权发送付款，允许应用程序代表您向其他用户发送付款。请谨慎授予此权限，因为它可能导致未经授权的资金转移。
trade:read 权限，而不需要授予任何写权限。
5. 阅读并同意 API 使用条款:
在创建 API 密钥之前，您必须仔细阅读并明确同意 Coinbase 提供的 API 使用条款。这些条款是您访问和使用 Coinbase API 服务的法律基础，详细阐述了您的权利、义务以及使用限制。
务必充分理解这些条款，其中包括但不限于：
- API 使用范围和限制： 了解 API 允许的操作类型，以及任何速率限制、数据访问限制或交易限制。违反这些限制可能会导致 API 密钥被暂停或撤销。
- 数据安全和隐私： 理解 Coinbase 如何处理您通过 API 访问的个人数据和交易数据，以及您自身的安全责任，包括保护您的 API 密钥安全，防止未经授权的访问。
- 免责声明和责任限制： 了解 Coinbase 对 API 服务的可用性和准确性的免责声明，以及其对您因使用 API 而产生的任何损失或损害的责任限制。
- 知识产权： 明确 Coinbase 对 API 及其相关文档的所有权，以及您在使用 API 过程中可能产生的任何知识产权归属。
- 服务变更和终止： Coinbase 可能会随时修改或终止 API 服务，您需要了解这些变更可能对您的应用程序产生的影响。
- 法律合规： 确保您的 API 使用符合所有适用的法律法规，包括但不限于反洗钱 (AML) 和了解你的客户 (KYC) 法规。
仔细阅读这些条款，并确保您完全理解并同意其中的内容，对于避免潜在的法律风险和技术问题至关重要。 如果您对任何条款有疑问，建议您咨询法律顾问或联系 Coinbase 的支持团队。
6. 创建 API 密钥:
在成功配置并验证了您的双重验证设置、权限设置以及了解了API使用限制之后，您现在可以安全地创建您的API密钥。 点击 Coinbase 界面上的 "创建 API 密钥" 按钮，系统将开始生成您的 API 密钥对。这个过程可能需要几秒钟。
Coinbase 会自动生成两个关键组件：您的 API 密钥（也称为 API Key 或 API ID）和 API 密钥 Secret（也称为 API Secret）。 API 密钥是公开的，用于标识您的应用程序或账户，而 API 密钥 Secret 则是私密的、高度敏感的凭证，类似于密码，用于验证请求的真实性。 务必妥善保管您的 API 密钥 Secret，切勿将其泄露给任何人。 密钥泄露可能导致未经授权的访问，从而造成严重的财务损失或数据泄露。
请注意，Coinbase 通常允许您创建多个 API 密钥，以便您可以为不同的应用程序或用途分配独立的密钥。这有助于提高安全性并简化密钥管理。 强烈建议您为每个应用程序或用途创建单独的 API 密钥，以便在发生安全事件时，可以更容易地撤销或限制受影响的密钥，而不会影响其他应用程序。
创建API密钥后，Coinbase会提供一个下载或复制API密钥和Secret的选项，请选择适合您的复制方式，并务必存储到安全的地方。推荐使用密码管理工具，例如LastPass, 1Password等等。
7. 保存 API 密钥和 Secret:
非常重要： Coinbase 只会显示您的 API 密钥 Secret 一次。 务必立即将 API 密钥和 Secret 安全地保存在一个安全的地方，例如密码管理器。 如果您丢失了 Secret，您将需要创建一个新的 API 密钥。8. 激活 API 密钥:
在某些情况下，即使成功创建了 API 密钥，您也可能需要手动激活它才能使其生效。 激活过程通常涉及验证您的身份和确认您打算使用该密钥进行交易或数据访问等操作。
请严格按照 Coinbase 官方提供的详细说明进行 API 密钥激活。这些说明可能包含以下步骤：
- 验证身份： 您可能需要通过 Coinbase 账户进行身份验证，这可能涉及提供额外的个人信息或完成双重验证 (2FA)。
- 确认用途： Coinbase 可能会要求您说明使用 API 密钥的具体目的，例如交易、数据分析或集成到第三方应用程序。
- 同意条款： 您需要阅读并同意 Coinbase 的 API 使用条款和条件。
- 等待审核： 在某些情况下，Coinbase 可能会对您的激活请求进行人工审核，这可能需要一些时间才能完成。
务必仔细阅读并理解 Coinbase 的激活指南，以确保您的 API 密钥能够成功激活并正常使用。 密钥未激活将导致API请求失败。
安全注意事项
- 保护您的 API 密钥和 Secret： 将您的 API 密钥和 Secret 视为最高级别的敏感信息，它们本质上是您账户的密码。切勿将它们以明文形式存储在任何文件中，包括配置文件、代码仓库或本地日志。 不要通过不安全的渠道（如电子邮件或即时消息）分享这些密钥。 建议使用专门的密钥管理系统或硬件安全模块 (HSM) 安全地存储和访问它们。
- 使用 IP 白名单： 为了最大限度地减少未经授权的访问风险，强烈建议您实施 IP 白名单策略。 通过配置您的 Coinbase 账户，只允许来自特定 IP 地址或 IP 地址范围的 API 请求。 这可以有效防止攻击者即使获得了您的 API 密钥和 Secret，也无法从未经授权的位置访问您的账户。请务必定期更新 IP 白名单，以反映您应用程序的实际部署环境。
- 定期审查 API 密钥： 建立定期审查 API 密钥的流程至关重要。 定期检查您的 API 密钥列表，确认每个密钥的用途仍然有效，并且只授予了必要的权限。 特别注意那些长期未使用或分配给已离职员工的密钥。 如果发现不再需要的 API 密钥，请立即将其删除，以降低潜在的安全风险。 审查与每个密钥关联的权限，确保它们符合最小权限原则。
- 启用双因素身份验证 (2FA)： 双因素身份验证 (2FA) 为您的 Coinbase 账户增加了一层额外的安全保护。 启用 2FA 后，除了您的密码之外，还需要提供一个来自您的移动设备或其他身份验证设备的验证码才能登录。 即使攻击者设法获取了您的密码，他们仍然需要获得您的 2FA 代码才能访问您的账户，从而极大地提高了安全性。 强烈建议您为所有 Coinbase 账户启用 2FA。
- 监控 API 使用情况： 定期监控您的 API 使用情况可以帮助您及早发现潜在的安全问题或异常活动。 密切关注 API 请求的数量、频率和类型。 如果发现任何异常模式，例如来自未知 IP 地址的大量请求，或尝试访问未经授权的资源，请立即采取行动进行调查。 Coinbase 通常提供 API 使用情况的监控工具和报告，以便您更好地了解您的 API 活动。
- 使用 API 密钥轮换 (Rotation): API 密钥轮换是一种主动的安全措施，旨在减少因密钥泄露而造成的潜在损害。 通过定期更换您的 API 密钥，即使旧密钥被泄露，攻击者也只能在有限的时间内利用它。 您可以设置自动化的 API 密钥轮换策略，或者手动执行密钥更换操作。 在轮换密钥时，请确保您的应用程序和服务使用新密钥进行更新，并且旧密钥被安全地禁用或删除。
- 了解速率限制: Coinbase 对 API 请求的频率施加了速率限制，以防止滥用和确保平台的稳定性。 在使用 Coinbase API 之前，请务必仔细阅读并理解这些速率限制。 超出速率限制可能会导致您的 API 请求被阻止，从而影响您的应用程序的功能。 您可以通过实施适当的重试机制和缓存策略来优化您的 API 使用，以避免超出速率限制。
- 使用沙盒环境： Coinbase 提供了一个沙盒环境，允许您在不影响真实账户的情况下测试您的应用程序和 API 集成。 在将您的应用程序部署到生产环境之前，务必先在沙盒环境中进行彻底的测试。 这可以帮助您发现潜在的错误、安全漏洞或性能问题，而不会对您的真实资金或数据造成任何风险。 沙盒环境提供了一个安全且可控的测试平台，让您可以自信地部署您的应用程序。
- 小心第三方应用程序： 在授权第三方应用程序访问您的 Coinbase 账户时，务必极其谨慎。 仔细审查应用程序的权限请求，了解它将能够访问哪些数据和执行哪些操作。 只授权您信任的应用程序，并且只授予必要的权限。 定期审查您已授权的应用程序列表，并撤销对不再使用的或不信任的应用程序的授权。 注意钓鱼诈骗，这些诈骗可能会伪装成合法的应用程序，试图窃取您的 Coinbase 凭据。
- 报告安全漏洞: 如果您发现 Coinbase API 存在任何安全漏洞，请立即向 Coinbase 报告。 及时报告安全漏洞可以帮助 Coinbase 修复漏洞并防止潜在的攻击。 Coinbase 通常会设立一个专门的安全团队或漏洞披露计划，用于处理安全漏洞的报告。 请尽可能提供详细的信息，包括漏洞的描述、复现步骤以及任何相关的证据。
代码示例 (仅供参考)
以下是一个简单的 Python 代码示例，用于使用 Coinbase Pro API 获取账户余额。请注意，这只是一个示例，您需要根据您的具体需求进行修改，并且需要安装
cbpro
Python 库。 务必妥善保管您的 API 密钥、密钥和密码短语，避免泄露。
确保你已安装
cbpro
库：
pip install cbpro
接下来，使用以下代码连接到 Coinbase Pro API 并获取账户信息：
import cbpro
# 替换为你的 API 凭证
api_key = 'YOUR_API_KEY'
api_secret = 'YOUR_API_SECRET'
api_passphrase = 'YOUR_API_PASSPHRASE'
# 创建一个认证客户端
auth_client = cbpro.AuthenticatedClient(api_key, api_secret, api_passphrase)
# 获取所有账户信息
accounts = auth_client.get_accounts()
# 循环遍历每个账户并打印相关信息
for account in accounts:
print(f"账户 ID: {account['id']}")
print(f"币种: {account['currency']}")
print(f"余额: {account['balance']}")
print(f"可用余额: {account['available']}")
print("---")
重要提示：
-
请务必将
'YOUR_API_KEY','YOUR_API_SECRET', 和'YOUR_API_PASSPHRASE'替换为你真实的 Coinbase Pro API 凭证。 - 请妥善保管您的 API 凭证，不要将它们提交到公共代码仓库或分享给他人。
- 此代码示例仅用于演示目的，您可能需要根据您的实际需求进行修改。例如，处理异常情况、进行错误处理、以及添加其他功能。
- 在生产环境中，请考虑使用更安全的凭证管理方法，例如环境变量或密钥管理服务。
- Coinbase Pro API 的使用受到速率限制，请确保您的应用程序遵守这些限制，避免被阻止。
- 仔细阅读 Coinbase Pro API 的官方文档，了解更多关于可用端点、参数和错误代码的信息。
YOUR_API_KEY, YOUR_API_SECRET, 和 YOUR_API_PASSPHRASE 为您的实际 API 密钥和 Secret。 并且，切勿将这些信息硬编码到您的代码中，建议使用环境变量或配置文件进行管理。
这个示例使用了 cbpro Python 库，您可以使用 pip install cbpro 安装它。 此外，请务必仔细阅读 Coinbase API 的官方文档，了解更多关于 API 的使用方法和限制。