Bybit APIキーを安全に作る:権限とIP制限の考え方

APIキーは、パスワードを渡さずに外部のツールへアカウントの操作を許可するための仕組みです。便利な反面、発行したキーが漏れれば、設定した権限の範囲でアカウントを操作されるおそれがあります。特に、出金の権限まで付けたキーが流出した場合、被害は深刻になりかねません。だからこそ、キーを作る段階で権限を絞り、使う場所を限定し、使わなくなったらすぐに削除するという習慣が重要です。この記事では、Bybitで新しいAPIキーを作るときに確認したい設定と、作ったあとの管理方法を具体的に説明します。画面の項目名は更新されることがあるため、最新の手順は公式ヘルプセンターで確認してください。少しの手間で、万一のときの被害を大きく減らせます。

用途を決めてから権限を選ぶ

キーを作る前に、そのキーで何をしたいのかをはっきりさせましょう。損益の記録や残高の確認だけなら、読み取り専用の権限で十分です。自動売買ツールを使う場合でも、必要なのは取引の権限であり、出金の権限が求められることはほとんどありません。もしツールが出金権限を要求してくるなら、その理由を慎重に確かめ、納得できなければ使わない判断も必要です。一つのキーを複数のツールで使い回すのではなく、用途ごとに別々のキーを作ると、問題が起きたときに影響を限定できます。

IPアドレスの制限を設定する

Bybitでは、APIキーを利用できるIPアドレスを指定できる場合があります。ツールを動かすサーバーのIPアドレスが決まっているなら、その範囲だけに限定しておくと、キーが外部に漏れても別の場所からは使えなくなります。制限を設定しないキーは、どこからでも使えてしまうため、リスクが大きくなります。自宅のパソコンなどIPアドレスが変わりやすい環境では制限が難しいこともありますが、その場合は読み取り専用にとどめるなど、権限の側でより慎重に調整しましょう。

シークレットキーの保管方法

キーを発行すると、シークレットキーが一度だけ表示されることが一般的です。これをメールやチャットに貼り付けたり、スクリーンショットとして写真フォルダに残したりするのは避けましょう。パスワード管理アプリなど、暗号化された場所に保存するのが安全です。また、サポートを名乗る人物からキーを教えるよう求められても、絶対に応じてはいけません。正規のサポートがシークレットキーを尋ねることはありません。少しでも漏れた疑いがあれば、ためらわずにキーを削除して作り直しましょう。

定期的に見直して不要なキーを削除する

月に一度など時期を決めて、APIキーの管理画面を開き、発行済みのキーを一覧で確認しましょう。もう使っていないツールのキーや、何のために作ったか思い出せないキーは削除します。残しておく理由のないキーは、それだけで不要なリスクになります。あわせて、ログイン履歴や取引履歴に見覚えのない操作がないかも確認しておくと安心です。キーの名前に用途と作成日を入れておくと、見直しの作業がずっと楽になり、判断に迷うことも減ります。

リスク範囲: Bybit Japan Guide

デジタル資産は変動が大きく、デリバティブは損失を拡大します。このサイトにはログイン、ウォレット接続、入金フォーム、サポートチャットはありません。 紹介リンクは流入元を記録するだけで、利用資格、料金、特典、承認、投資成果を保証しません。 提供状況は居住地、契約主体、商品ごとに異なるため、言語やブランドだけで地域利用の可否を判断しません。

シナリオ確認

• APIキーを作る前に用途を決め、記録や残高確認だけなら読み取り専用の権限だけにとどめておく。
• 出金権限は原則として付けず、ツールが要求する場合はその理由を確かめてから慎重に判断するようにする。
• ツールを動かす環境のIPアドレスが決まっているなら、キーの利用をその範囲だけに制限しておく。
• シークレットキーはパスワード管理アプリに保存し、チャットやスクリーンショットには残さないようにする。
• 月に一度キーの一覧を見直し、使っていないキーや用途が分からないキーはその場で迷わず削除する。