바이낸스 자동매매 API 발급 순서, 서브계정이 먼저인 이유

바이낸스 자동매매 봇을 만들 때 가장 먼저 해야 하는 것이 API 키 발급이다.
처음 하는 사람들이 여기서 많이 막힌다.
이 글에서는 서브계정과 메인 계정의 차이, 올바른 발급 순서, 보관법까지 직접 겪은 경험을 바탕으로 정리한다.

 

API 키가 뭔가 

API 키는 봇이 바이낸스 계정에 접속할 때 쓰는 비밀 열쇠다.
아이디와 비밀번호로 로그인하는 대신, 봇은 API 키로 계정을 인증한다.

API 키는 두 가지로 구성된다.
API Key — 공개 식별자. 어떤 계정인지 알려주는 역할.
Secret Key — 비밀 인증키. 절대 외부에 노출하면 안 된다.

두 개가 세트다. 하나만 있으면 소용없다.

 

서브계정이 뭔가, 왜 쓰나 

서브계정은 메인 계정 아래에 만드는 별도 계정이다.
자동매매 봇 전용으로 쓴다.

굳이 서브계정을 쓰는 이유가 있다.
메인 계정에 자산을 모아두고, 봇 운영 자금만 서브계정으로 이체해서 쓰는 방식이다.
봇이 오작동하거나 손실이 나도 메인 자산은 건드리지 않는다.
리스크를 분리하는 것이다.

서브계정이 없어도 봇 운영 자체는 가능하다.
하지만 메인 계정에 전 자산이 있는 상태에서 봇 오류가 나면 피해 범위가 커진다.
처음 시작할 때부터 서브계정으로 분리하는 습관을 들이는 게 낫다.

 

메인 API 키는 쉽다 

메인 계정 API 키 발급은 어렵지 않다.
바이낸스 로그인 후 우측 상단 프로필 → API 관리 메뉴에서 바로 발급받을 수 있다.
이름 입력하고 생성하면 끝.

 

서브계정 API 키는 순서가 중요하다 

여기서 많이 삽질한다. 나도 개고생했다.

잘못된 순서
API 키 먼저 발급 → 서브계정 만들기 → 연동 안됨 → 멘붕

올바른 순서
서브계정 먼저 만들기 → 그 계정에서 API 키 발급 → 바로 연동됨

순서가 반대면 절대 안 된다.
서브계정에서 발급한 API 키가 아니면 서브계정에 연동이 안 된다.
반드시 서브계정 먼저 만들고, 그 계정 안에서 API 키를 발급받자.

서브계정 만드는 방법은 바이낸스 우측 상단 → 계정 관리 → 서브계정 메뉴에 있다.

 

API 키 권한 설정 

API 키를 발급할 때 권한을 설정하는 항목이 나온다.
크게 두 가지로 나뉜다.

읽기 전용 — 잔고 조회, 거래 내역 확인만 가능. 주문은 낼 수 없다.
거래 허용 — 실제 매수·매도 주문을 낼 수 있다.

자동매매 봇은 직접 주문을 내야 하므로 거래 허용을 켜야 한다.
출금 권한은 반드시 꺼둔다.
봇에 출금 권한이 있으면 코드 오류나 해킹 시 자산이 빠져나갈 수 있다.
거래 권한만 켜고 출금은 끄는 것이 기본 보안 설정이다.

IP 제한 설정도 할 수 있다.
특정 IP에서만 API를 사용할 수 있도록 제한하는 기능이다.
VPS를 쓴다면 VPS IP를 등록해두면 외부에서 API 키가 유출돼도 사용하기 어렵다.
처음에는 번거롭지만 보안을 높이는 방법이다.

 

API 키 보관 방법 

처음엔 걱정이 많았다.
"API 키 까먹으면 어떡하지?" "시크릿 키는 다시 볼 수 없다는데?"
그래서 사진으로 찍어놨다. 다 부질없는 짓이었다.

방법은 간단하다.
API Key와 Secret Key를 복사해서 메모장에 붙여넣고 저장하면 끝.
파일 이름은 "바이낸스 API키.txt" 같은 식으로 알아보기 쉽게.
이 파일을 USB에 복사본으로 저장해두자.
컴퓨터가 고장나면 재발급 받아야 하는데 그게 더 번거롭다.

 

백테스트 파일에는 API 키가 필요 없다 

처음엔 몰랐다.
백테스트 파일에도 API 키와 시크릿 키를 다 붙여넣고 테스트했다.
그럴 필요가 없다.

백테스트는 거래소와 통신하지 않는다.
과거 데이터를 가져와서 시뮬레이션만 돌리는 거라 API 키가 없어도 된다.

더 큰 문제가 따로 있었다.
AI한테 코드 수정을 부탁하면서 파일을 올렸는데, API 키가 있는 채로 올렸다.
API 키가 AI 대화창에 노출된 것이다.
그때는 몰라서 여러 번 재발급을 받았다.

나중에 알고 보니 AI 대화창에 노출됐다고 꼭 재발급까지 받을 필요는 없었다.
하지만 습관은 중요하다.
AI한테 코드 올릴 때는 API 키를 삭제하고 올리자.
빈칸으로 두거나 "your_api_key"처럼 더미 텍스트로 바꿔두면 된다.

API 키 준비가 끝나면 이제 진짜 시작이다.

 

API 키 재발급이 필요한 경우 

시크릿 키는 발급 직후 한 번만 볼 수 있다.
그 화면을 지나치면 다시 확인이 불가능하다.
잃어버렸다면 기존 키를 삭제하고 새로 발급받아야 한다.

재발급 방법은 발급 방법과 동일하다.
API 관리 메뉴에서 기존 키를 삭제 → 새 키 생성 → 봇 코드에 새 키로 교체.

봇이 돌아가는 도중 키를 재발급하면 봇이 인증 오류를 낸다.
재발급 전에 봇을 먼저 중단하고, 새 키 적용 후 다시 실행하는 순서로 해야 한다.

보안 사고가 의심될 때도 즉시 재발급하면 된다.
기존 키로는 더 이상 접속이 안 되므로 빠르게 차단할 수 있다