用語集 / 購入と取引所
取引所のAPIキー
- 取引所のAPIキーとは？
- 取引所のAPIキーとは、パスワードを使わずに、自分が選んだ権限の範囲で、プログラムに自分の口座での取引、閲覧または出金をさせるために生成する認証情報です。
このキーは同じ口座への2つ目の入口であり、ログイン画面ではなくトークンと署名によって開かれます。2025年5月30日に最終更新されたBitstampの利用規約は、不正アクセスや資金の損失を含め、あなたが生成したキーによるすべての損失をあなたの負担としています。読み取り専用の権限を付与し、出金権限は決して付与せず、使わなくなったキーは削除してください。
仕組み
取引所のAPIキーはペアで発行されます。口座を特定する公開の識別子と、呼び出し側が各リクエストの署名に使うシークレットです。シークレットは作成時に一度だけ表示され、取引所は各署名を検証するために自社のコピーを保持します。以降、プログラムはリクエストに署名するだけで注文の発注、残高の取得、資金の移動ができ、その経路にブラウザも、パスワードの入力も、第二要素も介在しません。
権限がこの製品のすべてです。Bitstampの規約はこれを一行で述べています。「The scope of access you permit by such API key is defined by you when you create API Key」（このようなAPIキーによって許可するアクセスの範囲は、APIキーの作成時にあなたが定義します）とし、口座のアクセス制御ページを参照させています。取引所はこの範囲を閲覧、取引、出金に分けており、多くの取引所ではキーを固定IPアドレスに紐付けられるため、盗まれたシークレットは他の場所では役に立ちません。追跡ツールに渡した読み取り専用のキーで資金を失うことはありません。出金権限を持つキーは、シークレットを保持する者に支払うという恒久的な指示になります。
契約上、あなたのキーで署名されたリクエストはあなたの指示です。2026年7月1日付のバージョンであるBitstamp UK Limitedの規約は、Instructionをあなたから受領したあらゆる注文または指示と定義し、API条項では「resulting from use or Instructions submitted through API Keys」（APIキーの使用またはAPIキーを通じて提出されたInstructionに起因する）損失について責任を否認しています。同じ条項はグループの6社の規約にあり、Bitstamp Limited、Bitstamp Europe S.A.、Bitstamp USA Inc.、Bitstamp UK Limited、Bitstamp Global Ltd、Bitstamp Asia Pte. Ltd.を対象としています。Bitstampはまた、セキュリティが侵害されたと判断した場合に、事前の通知なくいかなるキーも停止する権利を留保しています。
目にする場所
取引所のAPIキーは、取引インターフェースを公開しているあらゆる取引所のセキュリティ設定にあり、通常はアクセス制御といった見出しの下にあります。ポートフォリオ追跡ツール、税務ツール、定期購入のスクリプト、取引履歴を取り込むスプレッドシートを接続するために作成します。取引所によっては、外部アプリケーションがあなたに代わってキーを要求できる場合もあります。BitstampはこれをBitstamp Connectと呼び、連携事業者の接続が確立される前に、あなたの口座内での同意を求めます。
2つの習慣でリスクの大部分を抑えられます。作業内容に権限を合わせてください。約定履歴を読み取る税務ツールには取引権限や出金権限を持つ理由がありません。また、ツールを廃止した時点でキーを取り消してください。キーはそれ自体では決して失効しないからです。取引所がIP許可リストに対応している場合は、それを利用してください。シークレットが漏えいしたと思う場合は、まずキーを削除し、その後に調査してください。
自前のツールを作る人が戸惑う点が1つあります。Bitstampの英国の規約は、キーが返すマーケットデータをPermitted Market Data Use（許可されたマーケットデータ利用）の目的にのみライセンスしており、これには価格の閲覧、注文の提出、取引の照合、税務または監査上の義務の履行が含まれます。それらの価格を再公開すること、他の取引所のフィードと統合すること、またはそれらでモデルを学習させることはCommercial Market Data Use（商業的マーケットデータ利用）に該当し、別途マーケットデータ契約が必要です。
取引所のAPIキーvs秘密鍵
秘密鍵はブロックチェーン上のビットコインを管理し、取引所のAPIキーは企業内の口座を管理します。違いはどちらかが漏えいしたときに現れます。侵害されたAPIキーは取り消せます。削除すれば、取引所はそのキーで作成された署名の受け付けを停止します。侵害された秘密鍵は誰にも取り消せません。ネットワークには誰がそれを保持すべきかを知るすべがないからです。唯一の防御は、盗人より先にコインを新しい鍵へ移すことです。この非対称性は、漏えいしたAPIキーがもたらし得る損害にも上限を設けます。そのキーは取引所があなたのために保持する残高にしか届かず、すでに出金したものには届きません。