الإجابة المختصرة: أمِّن مفتاح API Binance من خلال تفعيل الأذونات التي تحتاج إليها عملية التكامل فعليًا فقط، وتقييد المفتاح بعناوين IP الموثوقة عندما يدعم النشر استخدام عنوان IP صادر ثابت، وإبقاء كل سر أو مفتاح خاص خارج التعليمات البرمجية المصدرية وأنظمة التحكم في الإصدارات والرسائل المشتركة. لا يمكن لمفتاح للقراءة فقط مُعدّ بشكل صحيح تنفيذ أوامر أو عمليات سحب، لكنه قد يظل يكشف بيانات حساسة عن الحساب والمعاملات. إذا اشتُبه في انكشافه، فألغِ المفتاح أو احذفه فورًا، وراجع نشاط الحساب، وأصلح مسار الانكشاف، ثم أنشئ بديلًا.
آخر مراجعة: 31 أغسطس 2026. يمكن لـ Binance تغيير أذونات API وأنواع المفاتيح ومتطلبات الحساب وتسميات الواجهة والتوافر الإقليمي. تُعد شاشة إدارة API المباشرة في حساب Binance ذي الصلة والوثائق الخاصة بالمنتج أو نقطة النهاية المحددة هي المرجع المعتمد.
Binanceأمان مفاتيح API: أهم النقاط
- استخدم مفتاحًا واحدًا لغرض واحد: افصل بين أداة تتبع المحفظة وأداة الضرائب وروبوت التداول والخدمة الداخلية بدلًا من مشاركة مفتاح واحد قوي.
- فعّل الحد الأدنى من الأذونات فقط: بالنسبة إلى أداة للقراءة فقط، اترك أذونات التداول والتحويل والسحب معطّلة؛ ولا تضف إذنًا إلا عندما تتطلبه عملية التكامل فعليًا.
- تجنب إذن السحب: معظم أدوات التحليلات وروبوتات التداول لا تحتاج إليه. يذكر Binance قسم الأسئلة الشائعة للدعم حاليًا أن إضافة قيود الوصول عبر IP إلزامية لتفعيل إذن السحب. تحقّق من شاشة إدارة API المباشرة للحساب والمنطقة.
- قيّد عناوين IP الموثوقة: استخدم قائمة سماح عندما تخرج الطلبات عبر عناوين IP عامة ثابتة ومعروفة. وحافظ على تحديث القائمة عند تغيّر البنية التحتية.
- أبقِ الأسرار خارج التعليمات البرمجية: لا تضع سر HMAC أو مواد المفتاح الخاص في التعليمات البرمجية مباشرة، ولا تودعها في مستودع، أو تلصقها في محادثة الدعم، أو ترسلها إلى Bimence.
- ألغِ المفتاح أولًا عند الاشتباه في انكشافه: لا تنتظر انتهاء التحقيق بينما يظل مفتاح يُحتمل اختراقه نشطًا.
يتناول هذا الدليل دورة حياة أمان مفتاح Binance API، وليس كيفية إنشاء روبوت أو توقيع طلب. وبالنسبة إلى عناصر تحكم كلمات المرور ومفاتيح المرور والمصادقة الثنائية ومكافحة التصيد والأجهزة، استخدم Binanceقائمة التحقق الأوسع لأمان الحساب.
وظيفة مفتاح API والسر والمفتاح الخاص
تساعد بيانات اعتماد API Binance على تحديد التطبيق الذي يجري الاتصال وتقرير الإجراءات المحمية التي يجوز له طلبها. تجيب المصادقة عن سؤال «ما بيانات الاعتماد التي تُجري هذا الطلب؟» بينما تجيب المصادقة على الصلاحيات عن سؤال «ما الذي يُسمح لبيانات الاعتماد هذه بفعله؟» ولا يمنح التوقيع الصالح إذنًا معطّلًا في إدارة API.
| بيانات الاعتماد أو عنصر التحكم | الغرض | المعالجة الأمنية |
|---|---|---|
| مفتاح API | يحدد بيانات اعتماد API في الطلبات المحمية | تعامل معه باعتباره حساسًا حتى عند إقرانه بمجموعة أذونات للقراءة فقط |
| مفتاح سر HMAC | ينشئ التوقيعات باستخدام سر مشترك | لا تشاركه أو تضعه في التعليمات البرمجية مباشرة أو تودعه أو تسجله مطلقًا؛ وألغِ بيانات الاعتماد إذا اشتُبه في انكشافها |
| مفتاح RSA أو Ed25519 الخاص | ينشئ التوقيعات بينما Binance يحتفظ بالمفتاح العام المطابق | احمِ ملف المفتاح الخاص وعبارة المرور؛ وأشر إلى ملف محمي أو مخزن أسرار بدلًا من تضمين مواد المفتاح |
| الأذونات | تحدّد مجموعات نقاط النهاية المحمية التي يجوز لبيانات الاعتماد استخدامها | فعّل ما تحتاج إليه عملية التكامل فقط وراجع ذلك بعد كل تغيير في سير العمل |
| قائمة عناوين IP الموثوقة | تحد من الأماكن التي قد تنشأ منها الطلبات المقبولة | اسمح فقط بعناوين IP العامة الصادرة التي تم التحقق منها، وحدّث القائمة عند تغيّر البنية التحتية |
يدعم Binance حاليًا توقيع طلبات Spot API باستخدام HMAC وRSA وEd25519. وتوصي مقارنة Binance Academy بتاريخ 6 يوليو 2026 باستخدام مفتاح خاص Ed25519 محمي بعبارة مرور لمعظم حالات الاستخدام، مع الإشارة إلى أن التوافق مع الأنظمة القديمة قد يختلف. أكّد أن منتج Binance ونقطة النهاية ومكتبة العميل المقصودة تدعم نوع المفتاح المحدد قبل تغيير عملية تكامل عاملة.
مصفوفة الأذونات: ما الذي ينبغي تفعيله؟
تعكس الأسماء أدناه إرشادات Binance الحالية بشأن أذونات API. وقد تختلف الخيارات المعروضة بالضبط حسب المنتج والحساب وحالة التحقق والمنطقة. لا تفعّل إذنًا لمجرد أن صفحة إعداد التكامل تطلب تحديد كل المربعات.
| الإذن | ما الذي قد يشمله | متى قد يكون مبررًا | القرار الأمني الافتراضي |
|---|---|---|---|
| تفعيل القراءة | معلومات الحساب الخاصة، مثل الأرصدة وحالة الأوامر وسجل المعاملات | أداة للمحفظة أو إعداد التقارير أو الضرائب تقتصر على قراءة بيانات الحساب | استخدم القراءة فقط؛ وتذكّر أن البيانات المكشوفة قد تظل حساسة |
| تفعيل التداول الفوري وتداول الهامش | وضع أو إلغاء أوامر التداول المدعومة | تطبيق تداول خضع للمراجعة ويقدّم أوامر فعلية | اتركه معطّلًا لأدوات التحليلات؛ وقيّد المفتاح والرموز المدعومة حيثما أمكن |
| تفعيل قرض الهامش والسداد والتحويل | الاقتراض والسداد وتحويلات الهامش ذات الصلة | سير عمل للهامش ينفذ هذه الإجراءات صراحةً | اتركه معطّلًا ما لم تتطلب عملية التكامل سير العمل الكامل وتوثّقه |
| السماح بالتحويل الشامل | التحويلات بين أنواع حسابات Binance المدعومة | سير عمل داخلي لإدارة الخزينة مصمم لهذه التحويلات | عامله باعتباره إذنًا عالي التأثير وأبقِه منفصلًا عن أدوات القراءة فقط |
| تفعيل عمليات السحب | طلبات نقل الأصول المدعومة إلى خارج الحساب عبر نقاط نهاية السحب | سير عمل مضبوط بإحكام لا يمكنه العمل من دونه | أبقِه معطّلًا لأدوات التتبع والروبوتات العادية؛ ويذكر قسم الأسئلة الشائعة للدعم لدى Binance حاليًا أن تقييد IP إلزامي قبل تفعيل إذن السحب |
تفصل وثائق Spot API بين نقاط النهاية العامة والمجموعات المحمية مثل USER_DATA و TRADE. تنص Binance وثائق Spot على أن مفتاح API لا يمكنه افتراضيًا استخدام TRADE نقاط النهاية؛ يجب تمكين التداول في إدارة واجهة برمجة التطبيقات. هذا الإعداد الافتراضي نقطة بداية، وليس بديلاً عن مراجعة كل إذن بعد الإنشاء.
لا يغيّر خصم رسوم التداول متطلبات أمان واجهة برمجة التطبيقات. إذا كان التكامل سيُنشئ أوامر، فتحقق بشكل منفصل من العمولة الفعلية باستخدام Binanceدليل التحقق من رسوم التداول. وإذا كان بإمكانه الاقتراض أو السداد، فراجع أيضاً الالتزامات الحالية والضمانات الموضحة في Binanceدليل فوائد الهامش.
كيف تقلل قيود عناوين IP الموثوقة من المخاطر
تُبلغ قائمة السماح لعناوين IP Binance بقبول المفتاح فقط عندما يبدو أن الطلب صادر من أحد عناوين IP العامة المعتمدة. ويمكن أن يجعل ذلك المفتاح المنسوخ أقل فائدة لمهاجم يعمل من مكان آخر. لكنه لا يثبت أن الخادم أو التطبيق أو التبعية أو حساب المسؤول المعتمد آمن، لذلك يجب دمجه مع مبدأ الحد الأدنى من الصلاحيات والتخزين المحمي.
- حدّد عنوان IP العام الفعلي الصادر الذي يستخدمه التطبيق، وليس عنوان الشبكة الخاص بالحاسوب المحمول.
- تأكد مما إذا كانت الخدمة تستخدم عنوان IP ثابتاً للخروج. فقد تؤدي إعادة تشغيل الخدمات السحابية وبوابات NAT والوكلاء ومسارات التحويل الاحتياطية إلى تغيير العنوان.
- أضف عناوين IP الموثوقة المطلوبة فقط في إعدادات Binance إدارة واجهة برمجة التطبيقات لهذا المفتاح.
- اختبر طلب قراءة منخفض المخاطر قبل تمكين أي إذن إضافي.
- وثّق الجهة المالكة لكل عنوان IP مسموح به، وأزل الإدخالات عند إيقاف خادم أو مورّد.
- عند تغيّر عنوان IP الصادر، حدّث قائمة السماح من خلال حساب Binance الموثّق بدلاً من إضعاف المفتاح بالسماح بالوصول غير المقيّد.
قد تؤدي اتصالات المستهلكين الديناميكية والخدمات عديمة الخوادم إلى تعقيد ضوابط عناوين IP الثابتة. لا تعتبر ذلك سبباً لتمكين صلاحيات واسعة وغير مقيّدة. ضع في الاعتبار بنية خروج ثابتة، أو مفتاحاً محدوداً بشكل منفصل، أو حساباً فرعياً مناسباً، أو تكاملاً يدعم الضوابط المطلوبة، ثم تحقّق من شروط Binance الحالية.
أين تتحقق في حسابك على Binance
- افتح الموقع الإلكتروني أو التطبيق الرسمي لـ Binance عبر مسار موثوق وسجّل الدخول.
- افتح منطقة الحساب أو الملف الشخصي واختر إدارة واجهة برمجة التطبيقات. قد تختلف تسميات القوائم حسب الجهاز والمنطقة.
- تحقق من تسمية المفتاح ونوعه ومالك التكامل. ينبغي التحقيق في أي مفتاح غير مفسر أو مكرر.
- راجع كل إذن مفعّل وعطّل أي شيء لم يعد سير العمل الحالي يحتاج إليه.
- راجع قيد عناوين IP الموثوقة وتأكد من أن كل عنوان IP مُدرج لا يزال تابعاً للنشر المقصود.
- تحقق من نشاط الحساب والأوامر والتحويلات وعمليات السحب الأخيرة بحثاً عن أحداث لا تتوافق مع غرض التكامل.
- بعد أي تغيير، تحقق من استمرار عمل التطبيق المقصود ومن عدم إعادة تمكين أي إذن أوسع.
لا تُدخل مطلقاً مفتاح API حقيقياً أو سراً أو مفتاحاً خاصاً في أداة تشخيص عامة أو مطالبة إلى ذكاء اصطناعي أو رسالة دعم أو نموذج Bimence. لا تطلب Bimence بيانات اعتماد Binance API أو تختبرها أو تحتفظ بها، ولا يمكنها إصلاحها أو استعادتها.
التخزين الآمن والفصل التشغيلي
- لا تُضمّن الأسرار برمجياً: احتفظ بمواد بيانات الاعتماد خارج مصدر التطبيق.
- أبقِ الأسرار خارج نظام التحكم في الإصدارات: استخدم مسار إعدادات محمياً أو حقن المتغيرات البيئية أو خدمة مُدارة للأسرار، وتأكد من استبعاد ملفات الإعداد المحلية من عمليات الإيداع.
- احمِ ملفات المفتاح الخاص: قيّد وصول نظام التشغيل واستخدم عبارة مرور عندما يدعم نوع المفتاح والتكامل المحددان ذلك.
- افصل البيئات: يجب ألا تشترك بيئتا الإنتاج والاختبار في المفتاح أو الصلاحيات أو موقع التخزين نفسه.
- افصل المورّدين: امنح كل خدمة تابعة لجهة خارجية مفتاحاً محدوداً خاصاً بها، حتى يمكن إلغاء تكامل واحد دون مقاطعة التكاملات الأخرى.
- حدّد الملكية: سجّل التطبيق والمالك والصلاحيات وعناوين IP الموثوقة وتاريخ المراجعة، من دون نسخ السر إلى سجل الأصول.
- تجنّب تسجيل الأسرار: احجب الرؤوس ونسخ الإعدادات ولقطات الشاشة وتقارير الأعطال وحزم الدعم.
- أزل المفاتيح غير المستخدمة: التكامل غير النشط ليس سبباً لترك بيانات اعتماده مفعّلة.
تستخدم الصفحات التعليمية الرسمية لـ Binance فترات زمنية مختلفة كمثال للتدوير الدوري للمفاتيح. ولأن هذه الفترات توصيات وليست قاعدة عامة للحسابات، لا ينشر هذا الدليل جدولاً زمنياً ثابتاً واحداً. راجع بيانات الاعتماد بانتظام، ودوّرها وفقاً لمخاطر النظام وإجراءات التغيير، وألغِها فوراً بعد الاشتباه في انكشافها.
الاستجابة للحوادث عند الاشتباه في تسرّب مفتاح API
ينبغي أن يسبق الاحتواءُ التحقيقَ عندما يكون مفتاح ما معرضاً للانكشاف. تقول Binance Academy بضرورة إلغاء المفتاح المخترق فوراً. وإذا لوحظ نشاط غير معتاد في الحساب، فتقول وثائق المطوّرين في Binance Spot بضرورة إلغاء جميع مفاتيح API فوراً والتواصل مع Binance Support.
- ألغِ المفتاح المكشوف أو احذفه فوراً من شاشة إدارة واجهة برمجة التطبيقات الموثّقة.
- أوقف التكامل المتأثر حتى لا يستمر في إرسال الطلبات أو الكتابة فوق السجلات المفيدة.
- راجع النشاط بما في ذلك الأوامر والإلغاءات والتحويلات الداخلية وإجراءات الهامش وعمليات السحب وأحداث تسجيل الدخول وتغييرات إعدادات الأمان ذات الصلة بالصلاحيات المفعّلة.
- تواصل مع Binanceالدعم الرسمي عبر الموقع أو التطبيق الموثّق إذا اشتبهت في نشاط غير مصرّح به أو في تعرض الحساب للخطر.
- احتفظ بالأدلة دون الاحتفاظ ببيانات الاعتماد المكشوفة: سجّل الطوابع الزمنية ومعرّفات الطلبات ومعرّفات المعاملات وأحداث المستودع وسجلات الخادم ولقطات الشاشة مع حجب بيانات الاعتماد.
- أصلح مسار الانكشاف مثل مستودع عام أو ملف إعدادات مسرّب أو إضافة ضارة أو خادم مخترق أو موقع تصيد أو مورّد ذي صلاحيات مفرطة.
- أنشئ بديلاً فقط بعد المعالجة باستخدام سر أو زوج مفاتيح جديد، وموقع تخزين منفصل، والحد الأدنى من الصلاحيات، وقيود عناوين IP الموثوقة.
- راجع بيانات الاعتماد المرتبطة إذا كان الجهاز نفسه أو المستودع أو كلمة المرور أو مخزن الأسرار يحتوي على مفاتيح أخرى.
قد يكون تغيير كلمة مرور Binance مناسباً عند احتمال تعرض الحساب لاختراق أوسع، لكنه لا ينبغي أن يحل محل إلغاء اعتماد API نفسه. راجع Binanceدليل الإيداع والسحب قبل تقييم تحركات الأصول والشبكات وتفاصيل الوجهة.
أخطاء أمان واجهة برمجة التطبيقات الشائعة في Binance
- اعتبار الوصول للقراءة فقط غير ضار: تُعد الأرصدة وسجل المعاملات معلومات خاصة قيّمة حتى عندما يتعذر تنفيذ الطلبات.
- منح روبوت التداول صلاحية السحب: لا يتطلب تنفيذ الطلبات عادةً إذنًا لسحب الأصول.
- إعادة استخدام مفتاح واحد في كل مكان: تجعل بيانات الاعتماد المشتركة الإسناد والاحتواء والإلغاء أكثر صعوبة.
- السماح بكل عناوين IP لأن الخدمة تغيّر عناوينها: أعد تصميم الاتصال أو استخدم بيانات اعتماد أكثر تقييدًا بدلًا من إزالة عنصر تحكم رئيسي بصمت.
- وضع سر في مستودع وحذف الالتزام فقط: افترض أن بيانات الاعتماد ربما نُسخت بالفعل وألغِها.
- إنشاء بديل قبل إصلاح التخزين: قد يتسرب المفتاح الجديد عبر المسار نفسه.
- الثقة بتسمية المورّد دون التحقق من الأذونات: قارن الوصول المطلوب بالوظائف الفعلية للتكامل.
- افتراض أن BIMENCE يغيّر أذونات واجهة API: لا يمنح رمز الإحالة بيانات اعتماد API صلاحيةً أو حمايةً أو إمكانية استرداد.
الأسئلة الشائعة
هل يُعد مفتاح Binance API للقراءة فقط آمنًا؟
هو أكثر أمانًا من مفتاح ذي أذونات التداول أو التحويل أو السحب، لكنه ليس غير ضار. يمكن لمفتاح القراءة فقط كشف معلومات خاصة بالحساب، مثل الأرصدة وحالة الطلبات وسجل المعاملات. احمه، وقيّده بعناوين IP موثوقة حيثما كان ذلك عمليًا، وألغِه عندما لا تعود هناك حاجة إليه.
هل يحتاج روبوت التداول لدى Binance إلى صلاحية السحب؟
لا يتطلب تنفيذ الطلبات العادي صلاحية السحب. تميّز إرشادات الأكاديمية الحالية لدى Binance تحديدًا بين صلاحية التداول وعمليات السحب. تحقّق من الوظائف الموثقة للروبوت وأبقِ عمليات السحب معطّلة ما لم يتعذر على سير العمل العمل دونها فعليًا.
هل يُشترط تقييد IP لمفتاح Binance API؟
Binance يوصي بشدة بفرض قيود على عناوين IP الموثوقة. تنصّ صفحة الأسئلة الشائعة للدعم المتاحة حاليًا لدى Binance على أن إضافة قيود الوصول عبر IP إلزامية قبل تمكين صلاحية السحب، لكن الصفحة قد تعيد التوجيه بحسب المنطقة وتذكر أن معلوماتها قد تكون قديمة. تحقّق من شاشة إدارة API المباشرة للحساب والمنطقة. تقلل القائمة المسموح بها لعناوين IP من المخاطر، لكنها لا تضمن الأمان.
كم مرة ينبغي تدوير مفتاح Binance API؟
لا توجد فترة زمنية واحدة في هذا الدليل، لأن الأمثلة التعليمية الرسمية والمتطلبات التنظيمية تختلف. راجع المفاتيح بانتظام، ودوّرها من خلال عملية مضبوطة تناسب النظام، وألغِها فورًا إذا اشتُبه في انكشافها أو أُحيل التكامل إلى التقاعد.
ماذا لو كان التطبيق يستخدم عناوين IP متغيرة؟
لا تنتقل تلقائيًا إلى مفتاح واسع وغير مقيّد. فكّر في بنية تحتية مستقرة لعناوين IP الصادرة، أو بيانات اعتماد منفصلة ومحدودة، أو حساب فرعي مناسب، أو بنية أخرى يدعمها التكامل. أكّد شروط المنتج والحساب الحالية مع Binance.
هل يمكن لـ Bimence التحقق من مفتاح Binance API الخاص بي أو استرداده؟
لا. لا تطلب Bimence مفتاح API أو المفتاح السري أو المفتاح الخاص أو عبارة المرور أو كلمة المرور أو رمز OTP أو مواد الاسترداد. لا ترسلها إلى Bimence. ألغِ بيانات الاعتماد المكشوفة داخل Binance واستخدم دعم Binance الموثّق للحوادث المتعلقة بالحساب.
المصادر الرسمية التي تم التحقق منها في 31 أغسطس 2026
- Binance مستندات المطورين: معلومات عامة عن REST API — أنواع المفاتيح المدعومة، وأمان نقاط النهاية المحمية، وفصل الأذونات، وتقييد التداول الافتراضي، وإرشادات الإلغاء الفوري.
- Binance الدعم: كيفية إنشاء مفاتيح API على Binance؟ — مسار إدارة API، وHMAC المُنشأ بواسطة النظام مقابل Ed25519/RSA المُنشأ ذاتيًا، وحدود عناوين IP غير المقيّدة، ومتطلب تقييد IP المذكور لصلاحية السحب؛ وقد تعيد الصفحة التوجيه بحسب المنطقة وتذكر أن معلوماتها قد تكون قديمة.
- Binance الأكاديمية: ما مفاتيح API وأنواع الأمان؟ — تم التحديث في 6 يوليو 2026؛ أنواع المفاتيح، والتخزين المحمي، وقيود عناوين IP الموثوقة، وخيارات الأذونات، ومعالجة الحوادث.
- Binance الأكاديمية: ما مفتاح API وكيفية استخدامه بأمان؟ — تم التحديث في 26 مايو 2026؛ أقل قدر من الصلاحيات، وفصل المفاتيح لكل خدمة، وأمثلة التدوير، والتعرض لبيانات القراءة فقط، والاستجابة للحوادث.
إفصاح الشركات التابعة: قد تحصل Bimence على عمولة مقابل الإجراءات المؤهلة المكتملة عبر رابط BIMENCE. ولا يجعل ذلك Bimence جزءًا من Binance، كما أن رمز الإحالة لا يمنح أذونات API ولا يثبت أن التكامل آمن. تحذير من المخاطر: يمكن أن ينطوي تداول API والتحويلات والهامش وعمليات السحب على مخاطر مالية وأمنية، وقد تكون معاملات العملات المشفرة غير قابلة للعكس. يختلف توافر المنتجات بحسب المنطقة. هذه المقالة تثقيف عام وليست نصيحة في الأمن السيبراني أو الاستثمار أو الشؤون المالية أو القانون أو الضرائب.