코인 자동매매 API 키 발급, 권한과 허용 IP는 이렇게 정합니다

코인 자동매매 API 키는 프로그램이 내 계정에서 주문을 낼 수 있게 해 주는 열쇠이고, 발급할 때 가장 먼저 정할 것은 필요한 권한만 켜고 허용 IP를 등록하는 것입니다. 업비트 공식 안내는 필요한 기능에 맞는 최소 권한만 설정하라고 권장하고, 키가 유출되거나 분실되면 기존 키를 삭제하고 다시 만들라고 안내합니다.

자동매매를 처음 시작하는 분들이 가장 많이 묻는 질문 다섯 가지를 순서대로 정리했습니다. 이 글은 업비트 Open API 안내와 바이낸스 개발자 문서에서 확인한 내용만 쓰며, 화면 구성과 정책은 바뀔 수 있어서 발급 직전에 공식 문서를 다시 확인해야 합니다.

Q1. 자동매매 API 키에는 어떤 권한만 켜야 하나요?

자동매매가 하는 일을 먼저 나눠 보면 필요한 권한이 보입니다. 잔고와 주문 상태를 읽는 일, 주문을 내는 일, 주문을 취소하는 일은 자동매매에 필요하고, 자산을 밖으로 보내는 출금은 주문과 별개의 기능입니다.

• 자산 조회 — 자동매매에 필요한가: 필요 · 판단: 잔고를 읽어 주문 수량을 계산
• 주문 조회 — 자동매매에 필요한가: 필요 · 판단: 체결 여부와 미체결 주문 확인
• 주문하기 — 자동매매에 필요한가: 필요 · 판단: 매수·매도 주문 실행
• 출금하기 — 자동매매에 필요한가: 대부분 불필요 · 판단: 자동매매 중 자산을 밖으로 보낼 일이 없음

출금 권한은 자동매매 전략이 쓰지 않는 기능이므로 끄는 쪽이 기본입니다. 키가 새더라도 출금 권한이 없으면 그 키로 자산을 다른 주소로 보낼 수는 없습니다. 업비트는 출금하기 권한을 포함해 키를 발급할 때 출금 안심차단이 해제되어 있어야 하고 출금 주소를 미리 등록해야 한다고 안내합니다.

Q2. 허용 IP는 왜 등록하나요?

허용 IP는 그 키로 요청을 보낼 수 있는 주소를 제한하는 장치입니다. 업비트 안내에 따르면 등록하는 주소는 외부 통신에 쓰이는 공인 IP이고, 현재는 IPv4만 지원하며, 키 하나에 최대 10개까지 등록할 수 있습니다(2024년 11월 4일 5개에서 10개로 확대).

유동 IP 환경은 권장되지 않고 고정 IP를 쓰라는 안내가 있습니다. 집 인터넷의 공인 IP가 바뀌면 등록한 주소와 달라져서 주문이 거절될 수 있기 때문입니다. 등록되지 않은 주소에서 요청하면 no_authorization_ip 오류가 나옵니다. 주문하기와 출금하기 기능에 허용 IP가 필수라는 설명이 일부 문서에 있어서, 발급 화면의 최신 안내를 함께 확인하는 편이 안전합니다.

Q3. API 키를 만드는 순서는 어떻게 되나요?

업비트 안내의 순서는 이렇습니다. 마이페이지의 Open API 관리에서 사용할 기능 권한을 하나 이상 고르고, 허용 IP를 입력한 뒤, 개인정보 동의와 2채널 인증을 거쳐 발급을 요청합니다. 발급되면 액세스 키와 시크릿 키가 나오고, 시크릿 키는 분실하거나 유출되면 삭제 후 재생성해야 합니다.

시크릿 키는 프로그램 파일이나 공개 저장소에 그대로 적지 않고 환경 변수나 별도 보관 파일에 둡니다. 키를 화면 캡처로 공유하거나 메신저로 보내는 것은 유출과 같은 효과를 냅니다. 발급한 직후에는 자산 조회처럼 돈이 움직이지 않는 요청으로 먼저 연결을 확인하고, 주문 기능은 그다음에 아주 작은 수량으로 시험해 봅니다. 허용 IP나 권한이 잘못 설정돼 있으면 이 단계에서 오류로 드러나기 때문입니다.

Q4. 오류가 나면 어떻게 읽나요?

API 오류는 이름만 읽어도 원인을 좁힐 수 있습니다. 업비트에서는 no_authorization_ip는 등록되지 않은 IP에서 요청했다는 뜻이고, open_api_withdraw_locked는 출금 안심차단이 걸려 있다는 뜻이며, withdraw_address_not_registered는 출금 허용 주소가 등록되지 않았다는 뜻입니다.

실제 매매 기록은 텔레그램에 매일 올라갑니다.

퀀트알파 | 비트코인 시스템트레이딩시장 국면별 BTC 자동매매 분석, 매일 전략 작동 현황과 매주 수익·손실·MDD 리포트 공개t.me/+oSDjObO-5N05NWVl

바이낸스는 요청 한도를 넘기면 HTTP 429를 돌려주고, 이를 무시하고 계속 보내면 IP가 차단되어 HTTP 418이 나오며 차단은 2분에서 3일까지 이어질 수 있다고 안내합니다. 한도는 키가 아니라 IP 기준이고 응답에는 기다릴 시간을 알려 주는 Retry-After 값이 들어옵니다. 429를 받으면 같은 요청을 반복하지 않고 그 시간만큼 기다려야 합니다.

Q5. 시크릿 키는 어디에 보관하나요?

시크릿 키는 한 번 노출되면 되돌릴 수 없는 정보라서 보관 방식 자체가 보안입니다. 일반적으로 쓰는 방법을 정리하면 환경 변수나 별도 설정 파일에 두고 그 파일이 저장소에 올라가지 않게 제외 목록에 넣으며, 프로그램 로그에 키 값이 찍히지 않게 하고, 서버에는 필요한 사람만 접속하도록 제한하는 것입니다.

조회만 하는 모니터링 프로그램과 주문을 내는 자동매매 프로그램의 키를 따로 만드는 방법도 있습니다. 모니터링용 키에는 자산 조회와 주문 조회 권한만 켜 두면 그 키가 새더라도 주문이 나가지 않습니다. 키가 늘어나면 관리할 것도 늘어나므로 각 키의 용도와 만든 날짜를 기록해 두어야 합니다.

시스템트레이딩이라면 API 키를 어떻게 다루는가

시스템트레이딩에서 API 키는 전략보다 먼저 점검하는 운영 항목입니다. 규칙으로 옮기면 이렇게 됩니다.

• 권한은 필요한 것만 켭니다. 조회와 주문만 쓰고 출금은 끕니다. 권한이 늘어날수록 유출됐을 때 피해의 범위가 커집니다.
• 허용 IP를 고정 주소로 둡니다. 주문이 나가는 서버의 주소만 등록하고, 주소가 바뀌면 등록을 먼저 고칩니다.
• 한도를 넘기지 않는 요청 주기를 코드에 넣습니다. 429를 받으면 기다리는 규칙을 넣어 차단까지 가지 않게 합니다.
• 키 교체 절차를 미리 적어 둡니다. 유출이 의심되면 기존 키 삭제, 새 키 발급, 허용 IP 재등록 순서로 진행합니다.

퀀트알파도 신호를 감으로 읽지 않고 5분봉 마감이 확정된 뒤 조건이 맞을 때만 주문을 냅니다. 이 글의 점검 항목은 일반 기준을 정리한 것이며 퀀트알파가 쓰는 설정값은 공개하지 않습니다. 손절을 규칙으로 정하는 방법은 "트레일링 스탑 설정"에서, 한 번의 손실 폭을 정하는 방법은 "포지션 사이징"에서 정리했습니다.

트레일링 스탑 설정, 고점 대비 5%부터 ATR×4까지 8년 백테스트로 비교트레일링 스탑을 몇 %로 둘지 비트코인 일봉 8년 백테스트로 비교했습니다. 고점 대비 −5%는 2.17배, ATR×3은 7.21배, 단순 보유는 5.98배였고 촘촘할수록 진입만 늘었습니다.quant-alpha.kr

포지션 사이징이란, 같은 규칙에 비중만 바꿨더니 낙폭이 달라졌다포지션 사이징이 결과를 얼마나 바꾸는지 비트코인 일봉으로 계산했습니다. 같은 이동평균 규칙이 비중 100%에서는 최대낙폭 −51.3%, 50%에서는 −29.7%였습니다.quant-alpha.kr

자주 묻는 질문

Q. 코인 자동매매 API 키에 출금 권한을 켜도 되나요?

A. 자동매매는 조회와 주문만 쓰므로 출금 권한은 끄는 것이 기본입니다. 업비트 안내도 필요한 기능의 최소 권한만 설정하라고 권장합니다.

Q. 업비트 API 허용 IP는 몇 개까지 등록할 수 있나요?

A. 키 하나에 최대 10개이며 공인 IPv4 주소만 등록할 수 있습니다. 2024년 11월 4일에 5개에서 10개로 늘었고, 유동 IP보다 고정 IP를 쓰라고 안내합니다.

Q. API 키가 유출됐으면 어떻게 하나요?

A. 업비트 안내에 따라 기존 키를 삭제하고 새 키를 발급하며 허용 IP를 다시 등록합니다. 출금 권한을 끈 키라면 출금 피해는 막을 수 있지만 주문 권한이 있으면 주문은 가능하므로 빠르게 삭제해야 합니다.

Q. API 요청이 429 오류로 막히면 어떻게 하나요?

A. 바이낸스 문서는 요청 한도를 넘으면 429를 돌려주고 계속 보내면 IP 차단(418)이 될 수 있다고 안내합니다. 응답의 Retry-After 시간만큼 기다린 뒤 요청 주기를 늦춥니다.

실제 매매 기록은 텔레그램에 매일 올라갑니다.

퀀트알파 | 비트코인 시스템트레이딩시장 국면별 BTC 자동매매 분석, 매일 전략 작동 현황과 매주 수익·손실·MDD 리포트 공개t.me/+oSDjObO-5N05NWVl

키와 주문을 감정이 아니라 규칙과 마감 확정 후 주문으로 다루는 퀀트알파의 운용 방식이 궁금하다면 홈페이지에서 확인해 보세요.

https://quant-alpha.kr/?utm_source=web_blog&utm_medium=blog

출처

• 업비트 Open API 안내(API Key 발급 받기·API 이용 준비·IP 개수 확대 공지), 2026-11-06 조회. 주문하기·출금하기 허용 IP 필수 여부는 커뮤니티 클라이언트 문서 설명이라 공식 화면과 함께 확인이 필요합니다
• 바이낸스 개발자 문서(Spot·파생 General Info의 요청 한도 429·418 안내), 2026-11-06 조회. 신규 키 권한 기본값은 확인하지 못해 인용하지 않았습니다