Per collegare un bot di trading a Binance in sicurezza bastano cinque regole: crea una chiave API dedicata solo a quel bot, attiva soltanto la lettura (Enable Reading) e i futures (Enable Futures), lascia Enable Withdrawals (prelievi) deselezionato, limita la chiave agli indirizzi IP del bot ed elimina la chiave nel momento in cui smetti di usare il servizio. Configurato così, il peggio che un bot malevolo possa mai fare è tradare male: non può spostare nemmeno una moneta fuori dal tuo account.
Questa è l'intera ricetta. Il resto della guida è il ragionamento che ci sta dietro: che cosa autorizza davvero ciascun permesso, che cosa un aggressore potrebbe o non potrebbe fare con la tua chiave a ogni livello, e le abitudini di rotazione che mantengono sicura una connessione bot di lunga durata. Il modello dei permessi è la parte di Binance che cambia a malapena tra un redesign e l'altro, quindi è il livello che vale la pena capire una volta sola, per bene.
La chiave API di Binance è gratuita?
Sì. Creare una chiave API di Binance non costa nulla: nessuna commissione per generarla, nessun canone mensile per mantenerla, nessun costo per richiesta entro i normali limiti di utilizzo. Paghi solo le normali commissioni di trading sugli ordini che la chiave esegue, esattamente come se avessi cliccato tu stesso quelle operazioni.
Questo fatto è anche un filtro di sicurezza: chiunque venda «chiavi API di Binance» o ti faccia pagare per un «accesso API» sta gestendo una truffa. La chiave arriva dalle impostazioni del tuo account Binance, e da nessun altro posto.
Che cos'è davvero una chiave API di Binance — e perché i bot ne hanno bisogno
Una chiave API è una coppia di credenziali: la chiave API vera e propria (un identificatore, come uno username) e la chiave segreta (una password ad ambito limitato che firma le tue richieste). Insieme permettono a un software di agire sul tuo account senza mai conoscere il tuo login, la tua password o i tuoi codici 2FA. Se il concetto ti è nuovo, parti da che cos'è un'API e a cosa serve: in breve, è una porta controllata con appuntata sopra una lista di permessi.
Un bot di trading usa quella porta per esattamente tre cose: leggere i dati di mercato, leggere i tuoi saldi e le tue posizioni, aprire o chiudere ordini. Niente di ciò che un bot fa legittimamente richiede l'accesso alle vie d'uscita dei tuoi fondi. Ecco perché le caselle dei permessi meritano più attenzione di tutto il resto della configurazione messo insieme.
Permessi della chiave API di Binance: gli interruttori che contano
Le etichette dei menu cambiano a ogni redesign, ma il modello dei permessi è stabile da anni. Quando crei o modifichi una chiave, troverai interruttori che corrispondono a queste capacità:
- Lettura (Enable Reading) — vedere saldi, posizioni e cronologia degli ordini. Attiva di default; ogni bot ne ha bisogno.
- Futures (Enable Futures) — aprire e gestire ordini sui futures. L'unico interruttore di cui un bot di futures USDT-M ha davvero bisogno.
- Trading Spot e Margine (Enable Spot & Margin Trading) — ordini spot. Un bot solo futures non ne ha bisogno; lascialo spento.
- Prelievi (Enable Withdrawals) — spostare fondi fuori dal tuo account. Mai attivarlo per un bot.
- Permessi di trasferimento — spostare fondi tra i tuoi stessi wallet Binance. Spenti, a meno che il bot non documenti un'esigenza specifica.
Il principio dietro la checklist è il minimo privilegio: ogni casella non selezionata è un'intera categoria di attacco che diventa impossibile, qualunque cosa accada alla chiave in seguito.
Mai attivare i prelievi — nessuna eccezione
Fai l'analisi del caso peggiore per ogni configurazione. Una chiave con lettura e futures attivi limita il tuo rischio a operazioni sbagliate: dolorose, visibili nella cronologia degli ordini e arrestabili nel momento in cui te ne accorgi. Una chiave con i prelievi attivi limita il tuo rischio al tuo intero saldo, inviato all'indirizzo di un aggressore, in modo irreversibile, in pochi minuti.
Nessun bot legittimo ha bisogno di diritti di prelievo. Il trading avviene interamente dentro il tuo account; non esiste alcuna funzione di un bot — pagamenti, riscossione di commissioni, «ribilanciamento» — che richieda una via d'uscita per i fondi. L'autotrading di HafizeBot, per esempio, si collega tramite chiavi API che non possono prelevare: i tuoi fondi restano sempre sul tuo account Binance, e puoi tagliare l'accesso da solo in qualsiasi momento.
Quindi tratta la richiesta stessa come il verdetto. Un servizio che ti chiede di attivare i prelievi ti ha già detto tutto ciò che dovevi sapere su di lui. Allontanati.
Come ottenere una chiave API di Binance Futures per il tuo bot
Le basi passo-passo — trovare API Management, superare la 2FA, dare un nome alla chiave — sono trattate nella nostra guida passo dopo passo per creare una chiave API di Binance, quindi non le ripeteremo qui. Il livello specifico per futures e bot che si aggiunge sopra:
- Apri prima un account futures. Il permesso futures diventa disponibile su una chiave solo quando il tuo account ha i futures abilitati.
- Etichetta la chiave con il nome del bot. Devi sapere a colpo d'occhio quale chiave appartiene a quale servizio.
- Attiva lettura e futures, nient'altro, e imposta la restrizione IP prima di incollare la chiave da qualsiasi parte.
- Copia subito la chiave segreta. Binance la mostra una sola volta, alla creazione. Se la perdi, non si recupera: elimini la chiave e ne crei una nuova.
- Una chiave per bot, sempre. Riutilizzare una chiave tra più servizi significa non poterne revocare uno senza rompere gli altri, e non poter distinguere di chi sono le richieste.
Whitelist IP: il controllo più forte che quasi tutti saltano
Quando crei una chiave, Binance ti fa scegliere tra accesso senza restrizioni e restrizione della chiave a indirizzi IP fidati. Scegli la restrizione, ogni volta. Con una whitelist attiva, le richieste firmate con la tua chiave vengono respinte se non arrivano dai server elencati: così una chiave trapelata tramite una pagina di phishing, uno screenshot condiviso o un laptop compromesso è quasi inutile per chi la detiene.
Un servizio di bot serio sa dirti esattamente da quali indirizzi IP statici opera; sono quelli che metti in whitelist. Se un servizio non può o non vuole dirti i propri IP, considera questo di per sé un campanello d'allarme. Binance inoltre applica limiti di default più severi e durate più brevi alle chiavi senza restrizioni: la piattaforma ti spinge verso la whitelist per una ragione. Costa due minuti ed elimina un'intera classe di furti.
Che cosa potrebbe fare un bot malevolo a ogni livello di permessi
Supponi il peggio: la chiave trapela, o il bot stesso si rivela ostile. Ciò che accade davvero dipende interamente dalle caselle che hai selezionato:
- Solo lettura. L'aggressore vede i tuoi saldi e la cronologia delle operazioni. Una perdita di privacy e informazioni utili per colpirti — ma nessun ordine, nessun movimento di fondi.
- Trading attivo, prelievi spenti. L'aggressore può farti perdere denaro nel modo lento: aprendo posizioni sbagliate, o tradando coppie illiquide contro di te come controparte. Il danno reale è possibile — ecco perché contano i limiti sulla dimensione delle posizioni — ma ogni azione finisce nella tua cronologia degli ordini, è limitata dal saldo del tuo wallet futures, e muore nel secondo in cui elimini la chiave.
- Prelievi attivi. Il tuo saldo parte verso un indirizzo che non controlli. Nessuna abilità di trading richiesta, nessun preavviso, nessun annullamento.
Ecco l'intero argomento a favore del modello dei permessi in un'unica immagine: la differenza tra «caso peggiore: perdite che puoi fermare» e «caso peggiore: tutto, all'istante».
Rotazione delle chiavi, revoca e piano di uscita
La revoca è un tuo diritto unilaterale, ed è istantanea: elimina la chiave in API Management e l'accesso del bot muore a metà richiesta. Non ti serve mai il permesso né la collaborazione del servizio del bot per disconnetterlo. Questa asimmetria è la ragione silenziosa per cui il trading via chiave API è il modo più sicuro di usare qualsiasi bot: l'interruttore d'emergenza è nelle tue mani.
Le abitudini che mantengono sicura una connessione di lunga durata:
- Ruota le chiavi a scadenze fisse — elimina la vecchia chiave, emettine una nuova, aggiorna il bot. Ogni trimestre è un buon default.
- Ruota immediatamente dopo qualsiasi cosa sospetta: ordini che non riconosci, avvisi di accesso, o notizie di una violazione del servizio del bot.
- Elimina le chiavi dei bot che non usi più. Una chiave dormiente è puro rischio senza alcun beneficio.
- Controlla la tua lista di chiavi ogni mese. Se non sai dire a cosa serve una chiave, eliminala.
Nota che Binance disattiva automaticamente le chiavi API dopo certi eventi di sicurezza, come un cambio di password. È una funzionalità: dopo ogni spavento sull'account, i tuoi bot restano scollegati finché non li ricolleghi deliberatamente.
Fai pratica sulla testnet prima di rischiare fondi veri
Binance gestisce una testnet futures separata, con saldi fittizi e chiavi API proprie: le ricerche per «binance testnet api key» esistono per buone ragioni. Se scrivi da solo il tuo codice di trading, sviluppa prima sulla testnet; le chiavi mainnet e le chiavi testnet sono credenziali del tutto separate.
I bot ospitati di solito non offrono connessioni alla testnet, ma vale lo stesso principio: parti in modalità osservazione, prima che esista qualsiasi chiave. Guarda i segnali del bot senza collegare nulla e, quando ti colleghi davvero, comincia con la dimensione di posizione più piccola che il bot consente.
Una chiave sicura non rende buono il bot
Tutto quanto sopra ti protegge dal furto. Non ti protegge dal modo ordinario in cui i bot perdono denaro: un modello che non funziona. Una chiave perfettamente configurata, senza prelievi e bloccata sugli IP, collegata a un cattivo bot continuerà a sanguinare tramite operazioni in perdita — quindi verifica il track record con lo stesso rigore che hai applicato ai permessi. Le nostre guide su se i bot di trading crypto con IA funzionano davvero e se i bot di trading valgono la pena spiegano come leggere uno storico con scetticismo.
La versione breve: pretendi il registro completo, non gli screenshot. HafizeBot pubblica sia la sua storia — 33 report mensili in formato foglio di calcolo che coprono 33.694 segnali da giugno 2021 a febbraio 2024 — sia una pagina delle performance in tempo reale rigenerata ogni ora dal database delle operazioni, dove i segnali scaduti contano contro il tasso di successo e i mesi in perdita compaiono quando accadono. L'autotrading opera poi entro limiti che imposti tu stesso: forza minima del segnale, dimensione della posizione, numero massimo di posizioni simultanee e filtri sulle monete — attraverso una chiave che non può prelevare.
E qualunque bot tu scelga: il trading sui futures è ad alto rischio, niente di tutto questo è un consiglio d'investimento, e dovresti tradare solo denaro che puoi permetterti di perdere.
FAQ
La chiave API di Binance è gratuita? Sì: creare e usare le chiavi API è gratis, senza abbonamento e senza costi per richiesta a livelli d'uso normali. Paghi solo le normali commissioni di trading sugli ordini che la chiave esegue. Chiunque ti faccia pagare per una «chiave API di Binance» è un truffatore.
Un bot di trading può prelevare i miei fondi con una chiave API? Solo se attivi il permesso di prelievo — cosa che non dovresti mai fare per un bot. Con i prelievi disattivati, un bot può leggere dati e tradare, ma i fondi fisicamente non possono lasciare il tuo account attraverso quella chiave.
Serve una chiave API separata per Binance Futures? No: è la stessa chiave con il permesso futures attivato. L'unico prerequisito è che il tuo account abbia prima aperto un account futures, altrimenti l'interruttore futures non sarà disponibile. Le chiavi della testnet, invece, sono credenziali separate provenienti da un sito separato.
Dove trovo la mia chiave API nell'app di Binance? Nel tuo profilo o nelle impostazioni dell'account, nella sezione API Management: lo stesso posto su mobile e desktop. Ricorda che la chiave segreta si può vedere una sola volta, alla creazione; se non l'hai salvata, elimina la chiave e creane una nuova.
Qual è la differenza tra chiave API e chiave segreta? La chiave API identifica il tuo account, come uno username; la chiave segreta firma ogni richiesta, come una password. Chiunque possieda entrambe può usare ogni permesso concesso alla chiave — ed è esattamente per questo che la tua vera rete di sicurezza sono i permessi, non la segretezza.
Come scollego un bot dal mio account Binance? Elimina la sua chiave API in API Management. L'accesso termina all'istante, non ti serve la collaborazione del bot, e nient'altro sul tuo account viene toccato.
Vuoi vedere che aspetto ha uno storico pubblicato prima di collegare qualsiasi cosa? Consulta la pagina delle performance in tempo reale o scarica i report storici — e poi osserva i segnali per qualche settimana prima ancora che esista una chiave API.