API 不是你的登入密碼
Bitfinex API Key 與 API Secret 是另外建立的一組憑證。它可以被限制用途，所以不需要把交易所登入密碼交給 BrainOff，也不應該把 API Secret 傳給任何客服人員。
安全設定的核心原則
| 權限類型 | 建議 | 原因 |
|---|---|---|
| 讀取帳戶與 Funding 資料 | 依畫面指引開啟 | 用來顯示資金、掛單、放貸與 Ledger。 |
| Funding 放貸操作 | 只有使用自動放貸時開啟 | 用來送出、取消或調整 Funding 掛單。 |
| 提款、轉帳 | 保持關閉 | BrainOff 的 Funding 流程不需要這些權限。 |
| 不相關的交易功能 | 保持關閉 | 管理 USD／USDT Funding 不需要額外交易權限。 |
最重要的一句不要透過 LINE、email、截圖或聊天訊息傳送 API Secret、密碼或驗證碼。
BrainOff 怎麼保存 API？
- API Key 與 Secret 在伺服器端加密保存。
- 客戶端與 Admin 後台只顯示 Key 的部分預覽。
- API Secret 不會再次回傳到瀏覽器或後台畫面。
- 若 API 失敗，系統只記錄錯誤狀態，不把 Secret 寫進營運紀錄。
懷疑外洩時怎麼做？
- 直接在 Bitfinex 撤銷原本的 API Key。
- 重新建立權限更精簡的新 API。
- 在 BrainOff 的「API 與策略」重新綁定。
- 確認畫面恢復 API 最近同步，再觀察資金加總。
不要只修改 BrainOff 裡的資料；真正能讓舊憑證失效的是 Bitfinex 端撤銷 API。
客服能協助什麼？客服可以協助你確認應勾選的權限與畫面狀態，但不會要求你把 API Secret 傳進聊天。