읽기 전용 키란? 출금은 못 하는 안전한 거래소 연동 방법
· Satoshi Note
자산관리 앱에 거래소 API 키를 넣으라고 하면 거부감부터 드는 게 당연합니다. "그거 넣으면 내 코인 누가 빼갈 수 있는 거 아냐?"라는 질문을 가장 많이 받습니다. 결론부터 말하면 — 권한을 제대로 고른 키라면 아닙니다. 이 글은 그 권한이 정확히 무엇이고, 어떻게 확인하는지를 실제 화면으로 보여 드립니다.
API 키는 권한을 고를 수 있다
거래소에서 API 키를 만들 때 체크박스로 권한을 하나씩 켜고 끕니다. 거래소마다 이름은 조금씩 다르지만 보통 이렇게 나뉩니다.
- 자산 조회 / 주문 조회 — 잔고와 체결 내역을 "보는" 권한
- 주문하기 — 실제로 매수·매도를 넣는 권한
- 출금하기 — 코인을 다른 주소로 보내는 권한
자산관리 앱이 할 일은 잔고와 체결 내역을 읽어서 보여 주는 것뿐입니다. 그러니 조회 권한만 켜고 주문·출금 권한은 꺼 둔 키를 넣으면 됩니다. 이 키가 혹시 유출되더라도 할 수 있는 일은 "보는 것"뿐이고, 코인을 팔거나 다른 곳으로 옮길 방법이 없습니다.
아래는 사토시노트 앱 안 연동 가이드 화면입니다. 거래소를 고르면 그 거래소에서 읽기 전용 키를 만드는 단계가 순서대로 나옵니다.
실제 화면으로 — 업비트 Open API 권한 체크 화면
말로만 설명하면 와닿지 않으니, 업비트에서 키를 만들 때 실제로 보이는 권한 선택 화면을 그대로 가져왔습니다.
빨간 테두리로 표시한 자산조회·주문조회만 체크되어 있고, 출금하기·입금하기는 체크되어 있지 않은 것이 보이실 겁니다. 이 상태로 키를 발급하면 그 키로는 잔고 확인과 체결 내역 조회만 가능하고, 코인을 꺼내거나 주문을 넣는 건 그 키로는 불가능합니다. 업비트뿐 아니라 사토시노트가 연동하는 13개 거래소 모두 같은 원칙으로 조회 권한만 켜면 됩니다.
두 가지를 더하면 더 안전합니다
읽기 전용 권한만으로도 충분히 안전하지만, 거래소가 지원한다면 아래 두 가지를 같이 해 두면 더 좋습니다.
- 허용 IP 등록 — 일부 거래소는 이 키가 어느 서버에서 오는 요청에만 응답할지 IP로 묶을 수 있습니다. 등록해 두면 다른 곳에서 그 키를 써도 거부됩니다.
- 다 쓴 키는 삭제 — 더 이상 그 앱을 안 쓴다면 거래소 화면에서 키를 지우면 그만입니다. 비밀번호를 바꿀 필요도 없습니다.
자주 묻는 질문
조회 권한만 켠 키로 정말 아무것도 못 하나요? 네. 거래소 서버가 그 권한 밖의 요청은 아예 거부합니다. 앱이 "안 하는" 게 아니라 거래소가 "못 하게" 막는 구조라 앱을 어디까지 믿어야 하는지 고민할 필요가 없습니다.
비밀번호도 넣어야 하나요? 아니요. API 키와 비밀번호는 완전히 다릅니다. 읽기 전용 연동에는 거래소 로그인 비밀번호나 2차 인증 번호를 어디에도 넣지 않습니다.
키를 넣으면 바로 보이나요? 네, 사토시노트는 키를 넣으면 몇 초 안에 잔고와 체결 내역을 불러와 종목별 평균 단가·손익을 계산합니다.
거래소별로 그림으로 보기
이 글은 "왜 안전한가"를 한 번만 자세히 설명한 글입니다. 업비트·바이낸스처럼 거래소별로 어느 메뉴에서 키를 만드는지는 각 거래소 연동 글에서 다룹니다. 지금 바로 해보고 싶다면 사토시노트 연동 가이드에서 쓰는 거래소를 고르면 단계별 화면을 바로 볼 수 있습니다.
사토시노트는 무료이며 읽기 전용 API 키만 받습니다. 주소는 satoshinote.io입니다.