Une clé API n'est pas un mot de passe ni un accès à votre compte au sens habituel du terme. Il s'agit d'une procuration avec des droits cochables individuellement que vous transmettez au logiciel de quelqu'un d'autre : à l'outil fiscal qui collecte vos transactions pour l'annexe allemande « Anlage SO », au tracker de portefeuille ou au robot de trading. Ce qui compte, ce sont les cases que vous cochez lorsque vous le créez. Nous avons examiné quels droits offrent les bourses que les investisseurs allemands utilisent réellement et où se situent les défauts de paiement dangereux.
Ce qu'une clé API sur un échange cryptographique déverrouille
Une clé API se compose de deux chaînes de caractères, une clé publique et une contrepartie secrète, avec lesquelles un programme s'identifie auprès de l'échange sans connaître votre mot de passe. C’est exactement le problème : parce que la clé est une identité qui lui est propre, elle comporte également un ensemble de droits qui lui sont propres. Un programme qui lit votre historique de trading pour la déclaration de revenus n'a besoin que de droits de lecture et de rien d'autre.
Dans la pratique, c’est souvent le contraire qui se produit. Quiconque souhaite en finir rapidement coche tout ce qui est proposé, car il n'est pas clair ce que l'outil en question pourrait vouloir interroger plus tard. La clé reste ensuite sur le compte de quelqu'un d'autre pendant des années, avec des droits qui n'ont jamais été utilisés. Pour Bitcoin et tous les autres titres détenus sur la même bourse, cette procuration s’applique alors de la même manière.
Le déclencheur : une vague de phishing en septembre a précisément ciblé ces clés
Le 10 septembre 2026, des attaquants ont accédé aux comptes clients du fournisseur de services de messagerie Brevo et les ont utilisés pour envoyer des messages provenant des véritables voies d'envoi de fournisseurs de cryptographie bien connus. Parmi les personnes concernées figuraient les utilisateurs des fabricants de portefeuilles matériels et des services fiscaux et de suivi. Ce qui distingue cette vague du phishing ordinaire, c'est l'adresse de l'expéditeur : elle était réelle et les indications habituelles ne s'appliquaient pas. Nous avons traité de l'incident dans notre rapport sur la violation de Brevo et les données des utilisateurs affectées.
Pour toute personne ayant saisi ses identifiants sur une telle page, la recommandation des fournisseurs est unanime : changer le mot de passe, vérifier l'authentification à deux facteurs et, si les clés d'un échange cryptographique y étaient stockées, les révoquer et les régénérer directement sur l'échange. Ce dernier point se perd régulièrement dans l’effervescence, car de nombreux investisseurs ne savent plus combien de clés ils ont distribuées au fil des années.
Ce que nous avons examiné et comment
Cette analyse a été réalisée par cryptoticker.io lui-même le 16 septembre 2026. Méthode : nous avons récupéré la documentation accessible au public et les pages d'aide des fournisseurs et évalué exclusivement ce qui y est indiqué en termes simples, sans ouvrir de compte et sans générer de clé. Douze pages provenant de huit fournisseurs et outils ont été examinées.
Trois limitations s'y rattachent, et elles ne constituent pas une formalité. Les pages d'aide de Bitvavo et Bitpanda ont répondu à notre récupération automatisée avec le code 403 et bloquent ainsi les machines, pas les lecteurs ; nous avons confirmé leur contenu via la version indexée publiquement. La page d'aide de Binance a répondu avec le code 202 et n'a fourni aucun texte pouvant être évalué. Et nous n’avons pas mesuré si les bourses appliquaient les droits documentés en fonctionnement réel exactement comme elles les décrivent.
Kraken, Bitvavo et Binance : quels droits vous accordez individuellement
Le constat d’abord : les trois bourses séparent la lecture, le trading et le retrait en droits distincts, et toutes les trois proposent une restriction aux adresses IP fixes. La différence réside dans le détail, et le détail décide.
Kraken : la plus belle répartition des trois
Kraken partage les droits davantage que ses concurrents. La page d'aide de Kraken sur la création d'une clé API répertorie, entre autres, « Requête de fonds », « Dépôt de fonds » et « Retrait de fonds » pour le côté argent, ainsi que « Requête des commandes et des transactions ouvertes », « Requête des commandes et des transactions fermées », « Modifier les commandes » et « Annuler/Clôturer les commandes » pour le trading, ainsi que « Interroger les entrées du grand livre » et « Exporter les données ». Le retrait est une coche en soi : selon la documentation, « Retirer des fonds » n'est nécessaire que pour les points finaux de retrait. Un paramètre est remarquable car il manque ailleurs : Kraken autorise une date d'expiration pour la clé, incluant explicitement de courtes périodes comme une semaine.
Pour un outil fiscal, les droits de requête ainsi que « Query Ledger Entries » et « Export Data » suffisent donc. Tout le reste peut rester éteint.
Bitvavo : trois droits et une phrase à connaître
Bitvavo connaît trois droits : consulter les données et les soldes du compte, négocier et retirer vers une adresse externe ou un compte bancaire vérifié. Lors de la création de la clé, vous définissez en outre les adresses IP à partir desquelles elle est valide, et la création nécessite une authentification active à deux facteurs. La phrase la plus importante de la page d'aide de Bitvavo sur les clés API concerne cependant le retrait : les retraits demandés via une clé API contournent l'invite à deux facteurs.
Quiconque croit que le deuxième facteur saisit tout quand cela compte se trompe sur cette seule voie. L'authentification à deux facteurs protège votre connexion. Une clé avec des droits de retrait contourne ce problème.
Binance : droits de trading avec expiration intégrée
Binance sépare les lectures, les transactions au comptant et sur marge et les retraits en commutateurs qui leur sont propres. La particularité réside dans une règle que de nombreux utilisateurs ne remarquent que lorsque leur bot s'arrête soudainement : sans adresse IP stockée, le droit de trading expire de lui-même après 90 jours et est automatiquement désélectionné. Avec une restriction IP, cela reste. Le droit de rétractation, quant à lui, ne peut être activé que si une restriction IP est définie.
Ce couplage est le plus strict parmi les prestataires examinés, et c'est un modèle à suivre : le droit le plus dangereux n'est disponible qu'avec le cadre qui le désamorce.
Pourquoi une clé sans droit de retrait peut quand même vous coûter de l'argent
L'hypothèse évidente est la suivante : sans droit de rétractation, une clé volée ne peut causer aucun dommage. Cette hypothèse est trop optimiste et la littérature spécialisée la contredit depuis des années. Des chercheurs en sécurité ont décrit comment les attaquants transforment de toute façon des clés sans droits de retrait en argent : ils échangent le solde extérieur contre des ordres qui leur sont propres sur des marchés peu négociés. Le solde ne quitte jamais la bourse, il change simplement de propriétaire à des prix absurdes. Deux modèles reviennent sans cesse ici : racheter un mur de vente et enchérir délibérément sur un jeton illiquide.
À cela s’ajoute une évaluation plus sobre des pratiques des développeurs, qui ne minimisent pas les dégâts mais les mesurent en proportion : sans droits de retrait, tout ce qu’un voleur peut faire, c’est effectuer des transactions étranges, et celles-ci sont mauvaises, limitées en taille et peuvent être stoppées en révoquant la clé. Les deux vues sont compatibles. Un droit de négociation n'empêche pas la perte, il la limite. En revanche, un droit de rétractation ne connaît aucune limite autre que votre solde.
En pratique, cela signifie : si vous connectez un robot de trading, le droit de trading est inévitable et vous devez conserver un faible montant sur le compte connecté. Si vous connectez un outil fiscal, c'est tout simplement superflu.
La liste blanche IP dévalorise une clé volée
La liste blanche IP est le paramètre le plus efficace disponible dans ce contexte, et en même temps le moins souvent défini. Il détermine à partir de quelles adresses Internet la clé est acceptée. Un attaquant qui capture la chaîne de caractères ne peut rien en faire tant qu'il n'envoie pas précisément à partir de cette adresse. Bitvavo le dit clairement dans ses pages d'aide : quiconque ne stocke aucune liste IP donne à tous ceux qui détiennent les clés la possibilité d'échanger sur le compte.
Le problème réside dans l’utilisation domestique. Un outil fiscal récupère vos données depuis les serveurs de son fournisseur, et non depuis votre ordinateur portable. L'adresse correspondante est donc celle du service, et il faut la lui demander ; des fournisseurs réputés le publient. Pour un bot autonome sur un serveur loué, la situation est simple, car son adresse est fixe. Pour un robot sur l'ordinateur personnel avec une adresse changeante, cela n'est pas pratique, et c'est exactement là que le champ reste alors vide.
Si vous ne pouvez pas définir la restriction IP, l'expiration reste un substitut. Kraken propose une date d'expiration pour cela, Binance en impose une lors du trading juste après 90 jours. Une clé qui va de toute façon mourir dans trois mois est un problème considérablement moindre qu’une clé qui reste dans un compte oublié depuis 2021.
Bitpanda, Trade Republic et Bison : quand il n’y a aucune clé à remettre
Chez les fournisseurs par lesquels de nombreux investisseurs allemands achètent, la situation semble différente et en leur faveur. Bitpanda émet des clés API couvrant le trading, les transactions et les soldes, et cet accès est en lecture seule. Une clé qui ne connaît aucun droit de négociation ou de retrait ne peut pas non plus en perdre un. Quiconque connecte un outil fiscal n’a pas la décision à prendre là-bas.
Trade Republic va encore plus loin et n'offre aucune interface officielle pour les clients de détail. Depuis mai 2026, il existe à la place une exportation CSV de l'historique des transactions que vous téléchargez et chargez dans votre outil fiscal. C'est moins pratique, car vous le faites manuellement à chaque mise à jour, et plus sûr, car aucune procuration durable n'est créée. Pour Bison, le même itinéraire via l'exportation s'applique.
Il y a ici un malentendu qui persiste : les solutions de fortune de la communauté, à savoir les extensions de navigateur et les interfaces rétro-conçues, ne sont pas des voies d'accès officielles. Ils accèdent à la session connectée. Ce que vous leur accordez n’est pas un droit étroitement défini, mais l’intégralité de votre identifiant.
La raison pour laquelle tant de clés API sont en circulation en Allemagne est inscrite dans le droit fiscal. Toute personne détenant des actifs cryptographiques dans un patrimoine privé doit être en mesure de documenter les dates d'acquisition, les coûts d'acquisition et de cession, car la période d'un an et l'ampleur du gain en dépendent. Aucun prestataire ne produit lui-même ces documents sous la forme souhaitée par l’administration fiscale. C’est pourquoi de nombreux investisseurs recherchent un outil qui collecte l’historique et produit une déclaration, et c’est pourquoi ils distribuent une clé.
Quel outil est en cause pour cela et combien il coûte, nous l'avons analysé dans notre comparaison de prix des logiciels de crypto-taxe ; l’aperçu des fournisseurs avec leurs itinéraires d’importation se trouve dans la plaque tournante des logiciels de crypto-taxe et des suivis de portefeuille. Pour la question de sécurité, une seule chose compte : un outil qui exige un droit de négociation ou de retrait afin de trop calculer les exigences fiscales. Il n’y a aucune raison fiscale de pouvoir effectuer des transactions à partir d’un programme fiscal.
Un deuxième point concerne le volume des données. Une clé avec droit de lecture donne au fournisseur un aperçu durable de votre historique complet de trading et de vos avoirs. Cela est nécessaire au calcul, mais cela fait du prestataire une cible enrichissante. C’est précisément pourquoi les mails de septembre touchent les clients des services fiscaux et de suivi et pas seulement les propriétaires de portefeuilles.
Révoquer et régénérer les clés API : le bon ordre
Si vous soupçonnez qu'une clé a fui, un ordre fixe s'applique et la première étape appartient à l'échange. Vous révoquez d’abord la clé dans les paramètres du compte de l’échange. A partir de ce moment, la chaîne de caractères ne vaut plus rien, quel que soit celui qui la détient. Ce n'est qu'alors que vous en générez un nouveau et que vous le saisissez dans l'outil. Quiconque inverse l'ordre et nettoie l'outil laisse d'abord l'ancienne clé en marche.
Vient ensuite un aperçu de l'historique du compte, et de deux choses en particulier : les transactions que vous n'avez pas déclenchées vous-même et les connexions ou accès à partir d'adresses inconnues. Les échanges visibles sur des jetons peu échangés constituent le modèle typique de l'attaque décrite ci-dessus. Si vous trouvez quelque chose, il appartient immédiatement au support de l'échange, par écrit et avec horodatage.
La troisième étape est la plus gênante : un inventaire complet de toutes les clés que vous avez déjà distribuées. Chaque échange répertorie les clés actives dans ses paramètres, généralement avec une date de création et une dernière utilisation. Tout ce que vous ne pouvez pas céder avec certitude, vous le supprimez. Une clé encore nécessaire s'annoncera d'ici quelques jours via un outil qui n'extrait plus de données. C’est un petit prix pour se débarrasser d’une procuration oubliée.
Voir l’article original en anglais
