Binance API anahtarı oluşturma ve güvenlik

Kısa cevap: Binance API anahtarı, profil menüsündeki API Management sayfasında Create API ile oluşturulur; anahtar türü seçilir, etiket girilir ve işlem 2FA ile onaylanır. Güvenlik için yalnızca gereken izinler açılır, erişim güvenilir IP adresleriyle sınırlanır ve bir bot için para çekme izni verilmez.

Binance API anahtarı, hesaba giriş yaptıktan sonra profil menüsündeki API Management (API Yönetimi) sayfasında Create API seçeneğiyle oluşturulur; anahtar türü seçilir, bir etiket girilir ve işlem iki faktörlü doğrulama ile onaylanır. Ön koşul olarak hesapta 2FA'nın açık, kimlik doğrulamasının tamamlanmış ve spot cüzdana en az bir kez para yatırılmış olması gerekir. Anahtar oluşturulduktan sonra yapılan izin ve IP ayarları güvenlik açısından en az anahtarın kendisi kadar önemlidir: yalnızca gereken izinler açılır, erişim güvenilir IP adresleriyle sınırlanır ve otomatik işlem yapan bir uygulama için para çekme izni hiçbir zaman verilmez.

API anahtarı ne işe yarar?

API anahtarı, bir yazılımın Binance hesabı adına istek göndermesini sağlayan kimliktir. Bakiye sorgulamak, emir göndermek veya emri iptal etmek gibi işlemlerin her biri API üzerinden yapılır; anahtar, isteğin hangi hesaba ait olduğunu ve hangi işlemlere izinli olduğunu belirler. Trading botları, portföy takip uygulamaları ve vergi araçları hesaba bu yolla bağlanır.

Binance'in dokümantasyonunda uç noktalar güvenlik türüne göre ayrılır. Herkese açık piyasa verisi anahtar gerektirmez; hesap bilgisi (USER_DATA) ve emir işlemleri (TRADE) ise hem anahtar hem de her isteğin gizli anahtarla imzalanmasını gerektirir. Yeni oluşturulan bir anahtar varsayılan olarak işlem yapamaz; işlem izni sonradan açılır. Botların bu altyapıyı nasıl kullandığı algoritmik işlem yazısında, veri ve emir kanallarının farkı ise REST ve WebSocket karşılaştırmasında anlatılıyor.

Binance API anahtarı oluşturmak için ön koşullar

İki faktörlü doğrulama: Hesapta 2FA açık olmalıdır; anahtar oluşturma işlemi 2FA cihazı veya passkey ile onaylanır.
Kimlik doğrulama: Kimlik doğrulaması tamamlanmamış hesaplarda API anahtarı oluşturulamaz.
Aktif hesap: Binance, spot cüzdana herhangi bir tutarda para yatırılmış olmasını ister.
Anahtar sayısı: Binance'in API Management sayfasına göre bir hesapta en fazla 30 API anahtarı oluşturulabilir (Ekim 2026).

Binance API anahtarı oluşturma adımları

Hesaba web tarayıcısından giriş yapılır; profil simgesinden Account, ardından API Management seçilir. Mobil uygulamada aynı sayfa Binance Pro görünümünde More menüsünün Other bölümünde yer alır.
Create API düğmesine tıklanır ve anahtar türü seçilir: sistem üretimli (System-generated) ya da kendi üretimli (Self-generated). İki türün farkı bir sonraki bölümde açıklanıyor. Menü ve düğme adları Binance'in arayüz güncellemeleriyle değişebilir.
Anahtara açıklayıcı bir etiket verilir. Etiket olarak bağlanacak uygulamanın adını yazmak, hangi anahtarın nerede kullanıldığını izlemeyi kolaylaştırır.
İşlem 2FA cihazı veya passkey ile doğrulanır.
Sistem üretimli anahtarda API Key ve Secret Key ekranda gösterilir. Secret Key, bu ekran kapatıldıktan sonra bir daha görüntülenemez; kaybedilirse anahtar silinip yenisi oluşturulur. Kendi üretimli anahtarda ise yalnızca API Key verilir; imzalama, kullanıcının kendi özel anahtarıyla yapılır.
Anahtar kartındaki Edit Restrictions bölümünden izinler ve IP kısıtlaması ayarlanır. Yeni anahtar yalnızca okuma izniyle oluşturulur.

API anahtarı türleri: HMAC, Ed25519 ve RSA

Sistem üretimli anahtar HMAC yöntemiyle çalışır: Binance bir gizli anahtar üretir ve kullanıcıya verir, istekler bu ortak sırla imzalanır. Kurulumu en kolay yöntem budur; ancak sır iki tarafta da bulunduğu için Binance'in geliştirici dokümanları HMAC'i asimetrik yöntemlere göre daha az güvenli sayar ve kullanımdan kaldırılmış (deprecated) olarak işaretler.

Kendi üretimli anahtarda kullanıcı bir açık-özel anahtar çifti üretir, açık anahtarı Binance'e yükler ve istekleri yalnızca kendisinde bulunan özel anahtarla imzalar. Binance bunun için Ed25519, RSA-2048 ve RSA-4096 anahtarlarını destekler; Ed25519'u hem hız hem de güvenlik açısından önerir. FIX API gibi bazı arayüzler yalnızca Ed25519 kabul eder. Anahtar çifti, Binance'in GitHub üzerinde yayımladığı Asymmetric Key Generator uygulamasıyla ya da OpenSSL gibi standart araçlarla üretilebilir; indirilen paketin bütünlüğü, yanında yayımlanan sağlama (checksum) dosyasıyla doğrulanmalıdır. Kendi yazılımını bağlayan bir geliştirici için Ed25519 daha güvenli seçenektir; hazır bot platformlarının hangi türü kabul ettiği ise platforma göre değişir.

API anahtarı izinleri: hangi seçenek neyi açar?

İzinler, Edit Restrictions ekranındaki onay kutularıyla verilir. Başlıca izinler ve anlamları:

Enable Reading: Bakiye, emir geçmişi ve hesap bilgisi okunur. Varsayılan izindir; portföy takip ve vergi araçları için yeterlidir.
Enable Spot & Margin Trading: Spot ve marjin piyasalarında emir göndermeyi ve iptal etmeyi açar. Çoğu trading botunun ihtiyaç duyduğu izin budur.
Enable Futures: Vadeli işlem emirlerini açar. Bu iznin verilebilmesi için vadeli işlem hesabının anahtar oluşturulmadan önce açılmış olması gerekir; portföy marjini etkinken de izin kapalı kalır.
Enable Withdrawals: API ile para çekmeyi açar. Binance bu izin için IPv4 kısıtlamasını zorunlu tutar. Bir trading botu için bu izin açılmamalıdır; işlem stratejileri para çekmeyi gerektirmez.
Transfer izinleri: Enable Internal Transfer ve Permits Universal Transfer, cüzdanlar ve hesaplar arası aktarımları açar; çoğu uygulama için gereksizdir.

Temel ilke en az yetki ilkesidir: uygulama hangi işi yapıyorsa yalnızca o işe karşılık gelen izin açılır. Binance'in dokümanları da işlem yapan uygulama için ayrı bir anahtar, yalnızca izleme yapan uygulama için ise salt okunur ayrı bir anahtar kullanılmasını örnek verir. Anahtarı ele geçiren biri, açık olan her izni hesap sahibinin onayı olmadan kullanabilir.

IP kısıtlaması nasıl çalışır, kısıtlamasız anahtarlara ne olur?

IP ayarında iki seçenek vardır: "Restrict access to trusted IPs only" ile yalnızca listelenen adreslerden gelen istekler kabul edilir; "Unrestricted" ile her adresten erişim mümkündür. Binance, resmi yardım sayfasında kısıtlamasız anahtarlara okuma dışında izin verilmemesini önerir ve bunu kurallara da bağlamıştır:

30 Ocak 2023'ten bu yana IP kısıtlaması olmayan sistem üretimli (HMAC) anahtarlara yalnızca okuma izni verilebilir. İşlem izni açmak için IPv4 kısıtlaması eklemek, kendi üretimli (Ed25519 veya RSA) anahtar kullanmak ya da hesaptaki varsayılan güvenlik kontrollerini kapatmak gerekir; son seçenek güvenlik seviyesini düşürür.
Para çekme izni, IP kısıtlaması olmadan hiçbir anahtar türünde açılamaz.
Aralık 2022'de yürürlüğe giren politikaya göre IP listesi olmayan ve 30 gün boyunca kullanılmayan anahtarlar otomatik olarak silinir. Binance, iznine bakılmaksızın her anahtara IP listesi tanımlanmasını önerir.

Bu kurallar Ekim 2026 itibarıyla Binance'in resmi sayfalarında yer alıyor; platform bunları değiştirebilir. Pratikte bu kurallar, botun sabit IP adresli bir sunucuda çalışması gerektiği anlamına gelir. Ev ya da ofis internetinde IP adresi zaman zaman değişir; adres değiştiğinde anahtardaki liste de güncellenmelidir, aksi hâlde istekler reddedilir. TradingView alarmlarını emre çeviren bir köprü sunucusu için de aynı kural geçerlidir; ayrıntılar TradingView webhook yazısında anlatılıyor.

Secret Key ve özel anahtar nasıl saklanır?

Anahtarlar kaynak koda yazılmaz; ortam değişkeni ya da bir gizli anahtar yöneticisi (secrets manager) kullanılır. Anahtar Git deposuna, günlük (log) dosyalarına ve ekran görüntülerine girmemelidir.
Ed25519 özel anahtarı yalnızca imzalamanın yapıldığı makinede durur; Binance'e yalnızca açık anahtar yüklenir.
Anahtar e-posta, mesajlaşma uygulaması veya destek talebi üzerinden kimseyle paylaşılmaz.
Üçüncü taraf bir platforma verilen anahtar, o platformun güvenliğine bağımlı hâle gelir. Bu durumda izinler daha da dar tutulur ve platformla ilişki bittiğinde anahtar hemen silinir.

Her uygulamaya ayrı anahtar, gerekirse alt hesap

Aynı anahtarı birden fazla uygulamada kullanmak, bir sızıntının tüm uygulamaları etkilemesine ve hangi uygulamanın hangi emri gönderdiğinin izlenememesine yol açar. Her uygulama için ayrı etiketli bir anahtar oluşturmak, birini diğerlerini etkilemeden iptal etmeyi mümkün kılar.

Daha ileri bir ayrım için alt hesaplar kullanılır. Kimlik doğrulamasını tamamlamış ve 2FA'sı açık kullanıcılar ana hesap altında alt hesap açabilir; standart kullanıcılar ve VIP 1 seviyesi için sınır beş alt hesaptır, VIP 2 ve üzeri seviyelerde sayı artar. Bot için ayrılan tutar alt hesaba aktarılır ve botun anahtarı yalnızca o alt hesap için oluşturulur; böylece anahtar ele geçse bile etki alt hesaptaki varlıklarla sınırlı kalır. Varlık aktarımlarını yalnızca ana hesap yönetir; alt hesaptan üçüncü taraf bir hesaba transfer desteklenmez. Her alt hesap için de en fazla 30 anahtar oluşturulabilir. Grid ve DCA botları gibi uzun süre kesintisiz çalışan uygulamalarda bu ayrım özellikle işe yarar.

Anahtar ne zaman iptal edilmeli?

Bir platformla çalışma bittiğinde, anahtarın bulunduğu sunucu elden çıkarıldığında ya da anahtarın başkasının eline geçmiş olabileceği düşünüldüğünde anahtar API Management sayfasından silinmelidir. Binance'in güvenlik önerileri de ele geçirildiğinden şüphelenilen anahtarın derhal silinip yenisiyle değiştirilmesi yönündedir. Silme işleminden sonra uygulama yeni anahtarla yeniden bağlanır. Binance'in önerdiği gibi anahtarları şüphe beklemeden belirli aralıklarla yenilemek de aynı mantığın devamıdır.

Binance TR ayrı bir platformdur

Türkiye'de hizmet veren Binance TR, global Binance'ten ayrı bir platformdur ve kendi API dokümantasyonuna sahiptir. Binance TR'nin API'si de HMAC SHA256 imzası kullanır; ancak sunucu adresleri (binance.tr), uç nokta yolları (/open/v1/ ön eki), sembol yazımı (BTC_USDT gibi alt çizgili) ve yanıt biçimi global API'den farklıdır. Global Binance için yazılmış bir bot ya da kütüphane Binance TR'de doğrudan çalışmaz; anahtarlar da her platformda ayrı oluşturulur. Farklı borsa API'lerinin tek bir sisteme bağlanması, Fincode'un borsa API entegrasyonu hizmetinin kapsamına girer.

Sık sorulan sorular

API anahtarım neden silindi?

En olası neden, anahtarın IP kısıtlaması olmadan oluşturulması ve 30 gün boyunca bu anahtarla hiç istek gönderilmemesidir; Binance bu anahtarları otomatik olarak siler. Anahtarı yeniden oluştururken güvenilir IP adreslerini tanımlamak sorunu çözer.

API anahtarıyla hesaptan para çekilebilir mi?

Yalnızca Enable Withdrawals izni açık ve anahtarda IP kısıtlaması tanımlıysa para çekilebilir. Bu izin kapalıyken anahtar ele geçse bile doğrudan para çekilemez; ancak işlem izni açık bir anahtarla hesaba zarar veren emirler gönderilebilir. İzinler ve IP kısıtlaması bu yüzden birlikte düşünülmelidir.

Secret Key'i kaybettim, yeniden görebilir miyim?

Hayır. Secret Key yalnızca oluşturma anında gösterilir; kaybedildiğinde anahtar silinip yenisi oluşturulur ve bağlı uygulama yeni bilgilerle güncellenir.

Bağlantıyı test etmek için gerçek hesap şart mı?

Binance, spot (Spot Test Network) ve vadeli işlemler için ayrı test ortamları (testnet) sunar; bu ortamlarda gerçek varlık olmadan API bağlantısı ve emir akışı denenebilir. Stratejinin kendisi ise geçmiş veriyle sınanır; bu sürecin tuzakları backtest yazısında anlatılıyor.

Kaynaklar

Bu yazı genel bilgilendirme amaçlıdır ve yatırım tavsiyesi niteliği taşımaz. Örneklerdeki rakamlar varsayımsaldır; belirli bir fon veya hisse için öneri değildir.