거래소 API 키 권한 범위 최소화 설정 절차

API 키는 자동 매매나 잔고 조회를 편하게 해 주지만, 권한을 넓게 열어 두면 키 하나가 새는 것만으로 계정 자산이 빠져나갈 수 있습니다. 특히 출금 권한을 켜 둔 채 IP 제한 없이 사용하는 습관은 가장 흔하고 가장 위험한 실수입니다. 이 글은 특정 거래소의 공식 안내를 기준으로, 키를 발급할 때 어떤 권한을 끄고 어떤 제한을 걸어야 하는지, 발급 직후 무엇을 확인하고 어떤 내용을 기록해 둘지 단계별로 설명합니다. 거래소마다 메뉴 이름과 세부 옵션이 다르므로 화면에 보이는 항목을 그대로 확인하면서 진행하세요.

발급 전에 정할 것

키를 만들기 전에 이 키가 무엇을 하게 할지 먼저 적어 두세요. 잔고와 주문 내역을 읽기만 하는 용도인지, 주문 생성과 취소까지 필요한지에 따라 필요한 권한이 달라집니다. 용도를 적지 않고 발급부터 하면 대부분 기본값이나 전체 권한을 그대로 두게 됩니다.

메모에는 키의 이름, 사용할 프로그램이나 봇의 종류, 필요한 기능 세 가지를 적습니다. 예를 들어 잔고 조회, 주문 생성, 주문 취소처럼 기능 단위로 나눠 적으면 권한 설정 화면에서 무엇을 켜야 하는지 헷갈리지 않습니다. 출금은 어떤 자동화에도 필요하지 않다는 점을 전제로 두세요.

거래소의 도움말 센터에는 API 키 생성과 권한 설명 문서가 따로 있습니다. 발급 화면을 열기 전에 해당 문서를 한 번 읽고, 화면에 나오는 권한 이름이 문서의 어떤 항목에 해당하는지 대조해 두면 실수를 줄일 수 있습니다.

권한 범위를 좁히는 순서

권한 설정 화면에서는 읽기 권한만 먼저 켜고 저장하세요. 조회만으로 충분한 작업이라면 여기서 멈추는 것이 가장 안전합니다. 주문 자동화가 정말 필요할 때만 주문 권한을 추가하고, 그때도 한 번에 모두 켜지 말고 필요한 항목만 하나씩 켭니다.

출금 권한 항목은 켜지 않은 상태로 두세요. 이미 켜져 있다면 끄고 저장한 뒤 화면을 새로 고쳐 실제로 반영됐는지 확인합니다. 일부 거래소는 출금 권한을 켜려면 별도 확인 절차를 요구하기도 하므로, 그런 단계가 보인다면 진행하지 말고 되돌아가는 것이 맞습니다.

선물이나 마진 같은 파생상품 권한은 현물 자동화에 필요하지 않습니다. 파생상품을 쓰지 않는다면 해당 권한도 꺼 두고, 관련 상품 문서를 확인해 어떤 권한이 어떤 주문에 연결되는지 파악한 뒤 결정하세요. 권한 이름이 낯설다면 켜지 않는 쪽을 기본으로 삼습니다.

IP 제한과 키 관리

가능하면 IP 제한을 설정해 지정한 주소에서만 키가 동작하게 만드세요. 서버나 고정 회선을 쓰지 않아 주소가 자주 바뀐다면, 제한을 걸 수 없는 상황인지 먼저 확인하고 그렇다면 키의 권한을 더 좁게 유지합니다. IP 제한을 걸었다면 실제로 다른 환경에서 요청이 거부되는지 한 번 시험해 보세요.

키는 화면에 한 번만 표시되는 경우가 많습니다. 발급 직후 안전한 곳에 보관하고, 채팅이나 메일, 메신저로 주고받지 마세요. 코드에 직접 적어 두는 대신 환경 변수나 별도 보관 파일을 쓰고, 그 파일이 공유 폴더나 저장소에 올라가지 않았는지 확인합니다.

사용하지 않는 키는 삭제하고, 용도가 바뀌면 기존 키의 권한을 수정하기보다 새로 발급해 교체하는 편이 추적하기 쉽습니다. 키 목록에서 마지막 사용 시각이나 최근 활동을 볼 수 있다면 주기적으로 열어 보고, 모르는 활동이 있으면 즉시 삭제하고 비밀번호와 2단계 인증 상태를 점검하세요.

발급 후 점검과 기록

발급 직후에는 권한 요약 화면을 캡처하거나 항목을 그대로 옮겨 적어 두세요. 키 이름, 생성 날짜, 켜 둔 권한, IP 제한 여부, 연결한 프로그램을 한 줄로 남기면 나중에 이 키가 무엇인지 추적할 수 있습니다. 키 값 자체는 이 기록에 남기지 않습니다.

정기 점검은 월 단위로 잡아 두는 것이 좋습니다. 키 목록을 열어 사용하지 않는 키를 정리하고, 권한이 발급 당시와 같은지, IP 제한이 그대로인지 확인합니다. 거래소가 권한 체계나 화면을 바꾸는 경우도 있으므로 도움말 센터의 최신 문서와 내 설정을 비교하세요.

이상 신호가 보이면 즉시 멈추세요. 모르는 주문이 생겼거나, 키를 등록하지 않은 프로그램에서 접근한 흔적이 있거나, 권한이 임의로 바뀐 경우가 여기에 해당합니다. 이때는 키를 전부 삭제하고 계정 설정에서 비밀번호와 2단계 인증을 다시 확인한 뒤, 거래 내역을 내려받아 시간 순으로 정리해 두세요.

위험 범위: South Korea Crypto Guide

디지털 자산은 변동성이 크며 파생상품은 손실을 확대할 수 있습니다. 이 사이트에는 로그인, 지갑 연결, 입금 양식, 지원 채팅이 없습니다. 추천 링크는 유입 경로만 기록하며 이용, 가격, 보상, 승인 또는 투자 결과를 보장하지 않습니다. 제공 여부는 거주지, 계약 주체 및 상품별로 다를 수 있으므로 언어나 브랜드만으로 지역 이용 자격을 판단하지 않습니다.

시나리오 점검

API 키를 만들기 전에 이 키가 필요한 기능을 조회, 주문 생성, 주문 취소 단위로 적어 둔다
출금 권한 항목이 꺼져 있는지 저장 후 화면을 새로 고쳐 확인한다
가능하면 IP 제한을 설정하고 다른 환경에서 요청이 거부되는지 시험한다
키 값은 화면에 한 번만 표시되는 경우가 많으므로 안전한 곳에 보관하고 메신저로 공유하지 않는다
키 이름, 생성 날짜, 켜 둔 권한, IP 제한 여부를 키 값 없이 기록해 둔다
월 단위로 키 목록을 열어 미사용 키를 삭제하고 권한이 그대로인지 점검한다