先验证工具与账户兼容，再在官方 API 管理界面按用途配置。不要把密钥发给教程站或所谓代连接客服。
检查一：工具和连接页面是不是官方的？
从工具的官方网站进入它的连接说明。相似域名、非官方插件或私信里发来的连接页面，都不能替代官方资料。
顺手确认这次到底要不要连账户。只想看公开价格，用公开数据就行，这一步就可以收住，不用授权账户；每月整理一次个人报表，平台自带的导出功能可能比长期连接更省维护；要持续更新自己的看板，再接着做检查二。
检查二：它支持你的账户和环境吗？
在工具文档里找两样东西：它支持哪个 Binance 账户实体，连的是正式环境还是测试环境。测试网的密钥在测试网单独创建，拿到正式环境用不了，反过来也一样；文档里没写清楚的，先问提供方再动手。
先在测试网跑通、再转正式的，四组配置要一起切过去：API 基础地址、密钥所属环境、工具的模式开关、数据存储位置。有一组还停在测试网，看到的就可能还是测试数据，逐项核对的办法见测试环境里看不到真实余额。测试时为了方便开的宽权限，也别原样复制到正式配置。Spot Testnet 的资产是虚拟的，还会周期性重置，测试余额对不上，别往里转真实资产去“修”。
工具自己的“测试模式”也要问清楚。有的软件指的是不访问交易所的本地模拟，有的仍读取正式账户、只是禁止执行操作。问它连的是哪个服务、读不读你的真实个人数据，问不到答案，就在记录里把这个模式写成“未确认”。
检查三：工具支持哪种密钥、字段填在哪？
官方说明列出系统生成的 HMAC 与自行生成的 Ed25519/RSA 等类型，工具不一定全部支持。不要自行换一种类型后假设仍兼容。先看工具文档里要求填哪几个字段，再去官方 API Management 页面创建对应类型。
官方 API Key Types 页面推荐 Ed25519，并把 HMAC 标为弃用、建议迁移到非对称类型（核验情况见密钥类型那篇）。手里已经是 HMAC 连接的，去问工具方迁移路线和支持的版本，光改下拉菜单完成不了迁移。
RSA 和 Ed25519 是公私钥配对，交给平台的是公钥，签名靠私钥。接入前记一份不含秘密的字段对照：API 标识填在哪，私钥是选本地路径还是交给服务托管，支不支持带口令的私钥。工具文档只给了两个输入框、没说私钥怎么导入，别把私钥文件内容往 Secret 框里试，先问提供方。
检查四：开哪些权限、要不要绑定 IP？
在 API Management 页面逐项核对读取、交易与 IP 限制。只看余额，就只开读取；云端工具先问清它的请求从哪个出口地址发出，再填进 IP 白名单（详见云端工具的 IP 白名单填谁）。
提币不是连接工具的常规必选项。只做资产统计的工具却要交易或提币权限，先暂停配置，问清这项权限用在哪个功能上、能不能关掉。要接交易工具，又不想让它碰到主账户里的其余资产，可以给它单开一个子账户，只交出子账户的密钥，主账户的 API 密钥不交给工具（做法见子账户那篇）。
拿不准是谁在发请求，先问服务方一句：向交易所发请求的是我的设备，还是你们的后台服务器？云端工具的出口地址从它官网或登录后的连接说明里取，记下网页地址和核对日期。官方 API 创建说明目前提到 IPv4 格式限制，按界面接受的格式逐条填，别自行扩大成一整个网段，也别因为地址对不上就开放所有 IP。客服另发来一个和文档不一致的地址，先回原来的官方渠道确认，再决定加不加。
检查五：连上后怎么验、不用时从哪里撤销？
先验证预期的最低风险功能是否工作，例如读取是否成功；不要用不理解的实盘交易测试连接。核查第三方所保存的数据及撤销方式。
撤销入口在平台的官方 API 管理页面，删掉工具 App 不会撤销密钥。连接前就给这个工具单独建一个密钥标签，停用时按工具名称、标签和用途找到它，撤销的就只是这一条，别的工具不受影响。停用后再检查未完成的任务和平台状态，取消授权不会撤回已经完成的交易。怀疑密钥泄露，不用等工具那边清理完，先撤销受影响的密钥。
填密钥之前，要先写下什么？
别急着填密钥。先写一句连接后要看到什么、哪些功能暂时不用，例如“在个人看板上看到最近一次同步的账户余额；只用于观察；不启动任何自动执行任务”，再补上工具名称和要查看的账户范围。之后界面显示连接成功、你要的余额却没出来，就照这句话判定事情还没办成。
同步时间和错误状态也写进去。余额页上有个数字，未必是刚同步的，也可能是缓存、演示数据或上次留下的结果，先问清工具靠什么区分。
再写停止条件。工具讲不清要哪些权限、找不到适用你账户的说明、说不出最低风险的验证办法，碰上任何一条就暂停配置，免得花了半天以后为了走完最后一步，接受一开始没想过的要求。准备时发现官方界面已经能出你要的报表，或者工具支持不了你的账户范围，就在记录里写“暂不连接”并注明原因。
工具写着“支持 Binance”，还要问清什么？
同一个平台品牌下面，可能有不同的服务实体、账户类型和产品环境。看到“支持 Binance”，接着问支持的是你实际在用的哪个服务、哪些功能、哪种连接方式，在创建密钥之前问清楚，别拿一把密钥挨个试选项。答案沿服务商官网的正式帮助入口去找连接文档，记下页面地址、适用的产品名称和查看日期。搜索结果摘要、转载教程和群友截图只能提醒你去找，接入说明还得看当前的官方文档；文档里没写你的账户类型，就把这一条直接拿去问服务商。
本地程序先核对安装来源，图标一样不能证明文件出自原开发者。云端工具要看登录和连接页面是不是官方使用的域名，或它明确说明过的授权路径。私信发来的页面不要输入账户密码，教程站上的连接示意图也不是真实的平台授权窗口。
服务地区同样算兼容性。页面有你的语言，不等于你的实际居住地区、账户实体和所需功能都受支持。遇到限制，不要靠切换语言、换网络位置或新开账户绕过去，去看正式资格说明或联系官方支持。
接入信息卡记什么、不记什么？
每条连接在自己的维护清单里留一张卡。下面这些能填就填，还没确认的写“待确认”，别为了表格完整填一个猜测：
- 工具的正式名称、文档地址和维护负责人；
- 账户实体，正式还是测试环境，请求从哪里发出；
- 支持的密钥类型，本次用的密钥标签和创建日期；
- 所需权限类别、用途、撤销入口和核查日期。
“支持范围”和“本次选择”分两栏记。服务商可能支持几种密钥类型，你这次只用一种；文档覆盖几个环境，你只连其中一个。
卡里和任何共享文档里都不放 API Secret、私钥、带签名的完整请求，也不放账户私密资产明细，本站的检查器同样用不到这些。密钥标签能和服务商那边的连接名称对上就行。要给支持人员看，只挑能说明问题的非敏感字段，整张卡不用原样发过去。
服务商说要先拿到秘密才能回答兼容性问题，就换个不需要账户访问的问法，问它支持哪些密钥类型、哪些环境、要哪些权限，官方说明在哪一页。这些通用接入要求用不着读你的账户，换了问法还答不清，先停下这次接入准备。
主要靠蒙古语读工具帮助的话，卡上把 API Management、权限名称、环境名称的英文原文和自己的理解并排写，界面改版后照英文标签找设置。
在官方页面配置、往工具里填密钥，怎样不出错？
创建凭证之前，先在工具的官方说明里看它用哪种连接流程：有的要在工具设置里填指定字段，有的走平台提供的授权路径。两种流程的教程步骤各走各的；页面上的两个输入框分别对应哪项凭证，以说明里写的字段名为准。
到官方管理界面配置时，把定好的用途清单放在手边。每开一项能力，都能指出它对应哪个功能；每填一个网络条件，都知道依据是哪份官方材料。界面多了新项目或改了名称，先看当前说明，别拿旧截图里的开关数量判断设没设完。密钥类型、环境、权限和地址范围一次只改一项，和原计划不同的地方随手记下。几项一起改，下次成功了说不清是哪一项起的作用，失败了也查不出新问题出在哪一项。
只读用途遇到报错，执行能力照样关着，先按报错本身去查。工具提供方要的权限比你的清单大，也是先回到用途上，问清相关功能能不能关、有没有只读模式、文档对应哪个版本。
往工具里填的时候，对照字段名称和密钥类型，留意大小写、换行和复制范围。密钥标签不是 API Key，公开标识也不是秘密，看不懂的字段先查正式说明再填。这一步要确认的，是工具明确支持你这次选的类型；几种密钥的差别见HMAC、RSA、Ed25519 那篇。
保存后从头读一遍实际状态，看保存有没有完成、改的是哪一条连接、界面提示和维护记录对不对得上。
截图、录屏时怎样不漏出密钥？发错地方了怎么办？
填密钥时屏幕上会露出秘密，动手前先把屏幕收拾干净。关掉不必要的屏幕共享，截图前看一遍输入框、浏览器地址栏、弹窗和日志区；不要为了方便把 Secret 暂存在聊天里，也不要把带秘密的画面传给别人帮你认按钮。之后需要求助，重新做一份不含这些信息的说明。
支持人员要你录屏，先确认要演示的页面能把凭证和私密记录藏起来，录的范围尽量短，别让浏览器标签、通知和历史输入意外入镜。要展示连接设置，Secret 用不着重新显示出来，手工整理的步骤加上检查过的局部截图就够了。
贴报错文本前，看看里面有没有密钥、签名、账户标识或私密记录，换成写得明白的占位说明，替换后仍要看得出错误发生在哪一步。
秘密已经发到了不该去的地方，删掉消息不算处理完，别人可能早已复制，本地删除确认不了收回。已经暴露的凭证不要为了方便复现留着：按平台支持的流程撤销受影响的访问，更新合法连接，再检查相关状态。
第一次验证只回答一个问题
第一次验证只围绕前面写下的那句结果，例如工具能不能读到预期账户范围内的信息，并标出同步状态。这一步确认连接路径和基本功能就够了，自己还没弄懂的实盘交易，留到以后单独决定。
先看显示的内容属于哪个环境、哪个账户范围。测试环境的演示结果不能当成正式账户；正式账户里出来了某个余额，也证明不了所有账户模块都已同步。
账户明细用不着整份导出到外部去求证。看清工具怎样标来源、更新时间和覆盖范围，需要时在官方界面挑同一范围做一次有限比对。
两边对不上，先记下差异长什么样：完全没有数据、只有部分范围、时间明显过旧，还是单位和显示方式不同。四种情况各查各的，显示方式、同步范围和更新时间可能都要服务商来解释。权限放在最后看，确认缺的是某项必要的读取能力，再回到权限配置。
验证完写下通过了什么、什么时候查的、页面显示了什么、还有哪里没试。比起笼统一句“全部正常”，这样记更有用：“只读余额功能在本次检查中返回了预期范围；其他模块未检查。”没用真实账户查过，就记成“文档与设置评估”。
替别人整理教程的人，替不了账户持有人确认真实连接通过。手上没有账户或操作授权，就停在资料准备这一步，写清哪些操作还没做。
团队同时接了几个工具，就一条连接验收一次，别开一次会把所有产品都写成“已完成”。一个工具读取通过了，另一个工具的配置照样要单独确认；同一品牌的不同账户环境也分开记。
连接失败了，先记什么？怎样问支持才有用？
失败之后先记下 UTC 时间、工具版本、环境、正在用的功能、界面提示和最近一次配置变化，别急着删光设置重来。重建可能让现象暂时变了，能解释原因的线索却跟着丢了，旧连接还可能继续有效。
接着分三层看：浏览器能不能正常打开工具，工具能不能连到平台，平台接不接受这类请求。第一层的网页打不开，不要算到 API 权限头上；只有一句“连接失败”，也判断不了密钥是否失效。拿到具体错误码，就去看对应错误码的排查，时间、签名、权限或地址、请求频率各要不同的证据，不用一次把所有技术参数都调一遍。盲目重试还可能把一个简单问题变成新的限速。
找服务商时，请对方给出脱敏的错误类别、发生时间和请求的功能，不用索取或发送完整的请求秘密。问题可以这样写：“我在正式环境使用某版本工具，只启用余额读取。连接页面显示已保存，但首次同步返回指定错误码。发生时间为某个 UTC 时间，最近的变化是更换运行服务器。请确认这一版本支持的连接方式，并提供不含密钥与签名的错误类别。”
预期和实际分开写，预期是“读取已说明的账户范围”，实际是“页面提示失败，没有更新时间”。不要先在问题里写死一个没证实的原因，比如“平台把我的账户封了”，否则来回沟通都会围着这个猜测转。
对方给了修改建议，记下改哪一项、为什么改、是否适用于你的产品版本。涉及扩大权限或放宽地址限制的，回到检查四重新过一遍。
工具还能用，什么时候需要回头检查？
收到工具升级或服务器迁移通知、准备启用新功能、很久没用后重新打开、平台接口或服务条款有变化，都回头看一眼原来的设置。不一定要重建密钥，先回答一个问题：当初同意这些权限的理由，现在还成立吗？
重要变更回原始来源核对：服务商发布地址变化、连接方式弃用和故障说明的地方，加上平台的官方更新入口，都提前找好。社区转发只当提醒；群里流传的紧急操作截图，先回这些来源找到对应说明，再决定改不改平台设置。
每次回头检查，维护记录写短一点，不用把整份指南再抄一遍：
- 变化是什么，影响哪条连接；
- 材料出处；
- 这次确认的范围，没查过的功能标“未检查”，上次的“成功”不直接搬过来；
- 还没解决的问题。
有人替你管工具，换负责人时要交代清楚。让接手的人先只凭记录找到正确的连接和官方帮助页面，再复述一遍连接目的和停止条件。对方认不出是哪条连接、非要你另发秘密才行，就补标签和记录，秘密不发；说不出为什么需要某项能力，把理由补上；只是按钮换了位置，回到当前官方界面核对。
从一开始就准备退出清单
工具不再提供你需要的东西，就停用它，闲置连接留得越久，以后越难认清和清理。要继续用，得说得出功能还用得上、授权范围还清楚、有人负责维护；说不出来，就按下面的清单退出。
退出清单至少回答四个问题。第一次设置时只记下入口，不用现在执行，遇到故障或换工具时就不用临时去找。
- 在哪里停止工具任务；
- 在哪里撤销平台访问；
- 平台里还有没有需要单独检查的状态；
- 第三方的订阅和数据怎么处理。
平常停用和紧急收回分开处理。平常停用可以先核对对象和依赖，免得误伤别的用途；凭证可能已经泄露，就先处理受影响的访问，再按官方建议检查异常。两种情况里，必要的安全处置都排在“先填完整资料”之前。
删除工具、退出登录、取消付费、撤销平台密钥，这几件事互相代替不了，每个系统的结果分别看，还在等服务商处理的部分记下来。已经存到第三方的数据，按它的正式政策另外申请删除；平台访问失效，只说明它不能再用这份授权访问，历史副本删没删要另外确认。具体步骤见卸载之后还要检查什么。
最后存一份不含秘密的交接摘要，写上连接用途、关闭日期、平台侧结果、第三方侧结果和待办项。以后重新接入，拿它当线索，版本、账户实体、环境和权限照样逐项重新核对。
怎样知道这次连接真的准备好了？
不用教程里的术语，把上面五项检查各用一句话答出来。
- 工具和说明是从哪里找到的？
- 它支持你要连接的账户和环境吗？
- 密钥用哪种类型、填在什么地方？
- 你同意它读什么、做什么？
- 不用时从哪里关掉？
哪一题答不出来，就回到对应的检查去补，再把用到的帮助页面地址（不用抄全文）记进接入信息卡。