Clés API crypto : vérifier les droits et révoquer l’accès

Cadenas en laiton et clés sur fond blanc

Sommaire

L’essentiel

Contrôlez les accès des bots et des applications de portefeuille, supprimez les clés inutilisées et testez leur remplacement sans transaction. Exemples Kraken Pro et Coinbase Exchange.

Distinguer maintenance et incident potentiel

Une clé API de plateforme permet à un logiciel d’accéder à un compte sans passer par l’écran de connexion habituel à chaque requête. Une application de suivi de portefeuille peut lire les soldes ; un bot de trading peut passer des ordres. Ce guide aide le titulaire du compte à inventorier ces connexions, retirer les droits inutiles et vérifier une révocation. Il concerne les API des plateformes, pas les phrases de récupération des portefeuilles ni les autorisations de jetons sur une blockchain.

Il faut un appareil de confiance, l’accès à la plateforme et à sa méthode d’authentification, ainsi que les réglages de chaque service connecté. Ne commencez pas depuis un lien reçu dans un message inattendu du support. Des opérations inconnues, un secret divulgué ou une clé inconnue signalent un possible incident : révoquez rapidement l’accès concerné sur la plateforme et contactez son assistance officielle. Ne retardez pas cette mesure pour terminer la liste de contrôle.

Pour une maintenance planifiée, identifiez d’abord les tâches automatiques et les ordres ouverts dépendant de la connexion. Prévoyez une pause si possible. Révoquer les identifiants peut interrompre la surveillance ou la gestion des ordres ; cela ne prouve pas l’annulation des ordres existants. Vérifiez-les séparément dans l’interface de la plateforme. [1][2]

Dresser un inventaire sans copier les secrets

Ouvrez la plateforme depuis votre adresse enregistrée ou son application officielle et cherchez la gestion des API. Kraken Pro documente le chemin menu du compte, Settings, puis API. Coinbase Exchange indique une entrée API dans la barre latérale du tableau de bord ; cet exemple vise précisément Exchange, pas tous les produits Coinbase. Si votre interface diffère, consultez l’aide du produit utilisé.

Créez un registre privé contenant le libellé de la clé, l’application connectée, le compte ou portefeuille, la tâche prévue, les permissions, l’expiration et les restrictions IP éventuelles. Notez la création ou la dernière utilisation uniquement si l’interface fournit cette date. Ne collez ni secret API, ni phrase secrète, ni code QR dans ce registre ou dans une demande d’assistance. Un libellé explicite suffit à identifier la connexion.

Classez chaque entrée : conserver, remplacer, supprimer ou examiner. Un libellé inconnu justifie une vérification, sans prouver une compromission. Examinez vos anciennes intégrations avant d’attribuer une activité à un attaquant. Distinguez l’état affiché par la plateforme de ce que l’application déclare utiliser. [1][4]

Adapter les permissions à la tâche réelle

Avant de modifier les cases, écrivez ce que l’application doit accomplir. Afficher un solde ne nécessite pas de passer des ordres. Un rapport historique peut demander l’accès aux transactions ou au registre comptable, au-delà d’une consultation du solde. Pour chaque permission, demandez quelle fonction documentée échouerait sans elle ; une demande vague d’accès complet n’est pas une explication.

Un accès en lecture seule révèle tout de même des informations financières. Les droits de trading peuvent entraîner des pertes même si les retraits sont désactivés. Évaluez ces risques séparément. Coinbase Exchange distingue View, Trade, Transfer et Manage ; sa documentation précise que Transfer contourne l’authentification à deux facteurs. Une connexion web protégée ne signifie donc pas que chaque action API nécessitera une validation sur téléphone.

Accordez le minimum de permissions compatible avec la tâche et la documentation actuelle du produit. Ne transposez pas les noms de permissions d’une plateforme à l’autre. Si un simple affichage de portefeuille exige les retraits, arrêtez la configuration et demandez une explication technique précise. Ne testez pas cette affirmation en accordant temporairement un accès illimité. [1][4]

Vérifier les restrictions réseau et le stockage

Lorsqu’elle est proposée, une liste d’adresses IP autorisées limite les adresses réseau depuis lesquelles la clé peut être utilisée. Confirmez les adresses de sortie documentées du service connecté dans ses réglages officiels ou auprès de son assistance. L’adresse utile peut être celle de son serveur, plutôt que de votre ordinateur personnel. N’ajoutez pas une adresse fournie uniquement dans un message non sollicité.

Cette liste ne limite pas ce qu’un service déjà autorisé peut faire dans le cadre des permissions de la clé. Pour une connexion domestique dont l’adresse publique change, prévoyez la mise à jour de la restriction ; ne la supprimez pas par réflexe lorsqu’une connexion échoue. Kraken documente aussi une expiration, utile pour limiter la durée d’une connexion temporaire.

Conservez les identifiants nécessaires dans un coffre chiffré ou un gestionnaire de mots de passe. Évitez les captures synchronisées vers une photothèque partagée. Si un secret a déjà été exposé, déplacer la même valeur dans un stockage plus sûr ne révoque pas la copie divulguée. Remplacez-la sur la plateforme. [1][2]

Révoquer ou remplacer la clé choisie

Pour une connexion inutilisée, sélectionnez la clé correspondante dans la gestion API de la plateforme et utilisez la commande de révocation ou de suppression. Lisez attentivement la confirmation et vérifiez le libellé par rapport au registre. Désinstaller une application du téléphone ou déconnecter son tableau de bord ne remplace pas le contrôle de l’identifiant côté plateforme.

Pour un remplacement planifié, suivez l’ordre documenté pour le produit. Coinbase Exchange demande de révoquer d’abord la clé existante, de créer une remplaçante aux droits minimaux, de mettre à jour les applications et de la tester. Cette procédure implique une interruption. Ne promettez pas un changement transparent et ne conservez pas une clé compromise uniquement pour éviter une coupure.

Si le service reste nécessaire, enregistrez la nouvelle clé de façon sûre et mettez à jour seulement l’intégration prévue. Revérifiez le portefeuille choisi, les droits et la restriction réseau sans supposer leur reprise automatique. N’envoyez jamais le nouveau secret à une personne proposant de vérifier le changement à votre place. [2][3]

Vérifier le résultat dans les deux systèmes

Actualisez la liste API de la plateforme et confirmez que l’ancienne clé est absente ou explicitement révoquée. Vérifiez ensuite la prochaine tentative de synchronisation du service et son horodatage. Un solde encore affiché peut être en cache ; il ne démontre pas que l’accès persiste. Inversement, une erreur de connexion ne prouve pas à elle seule la révocation, car une panne réseau peut produire le même symptôme.

Pour la nouvelle clé, utilisez une lecture sans effet financier déjà prise en charge par l’application, telle qu’une actualisation des soldes. Comparez le compte et l’heure renvoyés avec la plateforme. Il n’est pas nécessaire de trader ou de retirer des fonds pour vérifier une connexion. Contrôlez les permissions enregistrées plutôt que d’essayer une opération financière indésirable.

Examinez séparément les ordres ouverts et les activités récentes. Consignez les éléments vérifiés et les incertitudes. Cette méthode contrôle les réglages d’accès ; elle ne prouve ni l’effacement des données déjà partagées ni l’annulation d’une transaction non autorisée antérieure. [3]

Exemple : retirer une ancienne connexion de portefeuille

Supposons qu’une ancienne application de portefeuille soit devenue inutile. Votre registre indique qu’elle doit seulement lire les données du compte, mais la plateforme affiche également un droit de trading. Il s’agit d’un exemple hypothétique, pas d’un incident signalé.

Notez le libellé et les permissions sans le secret, recherchez les autres tâches utilisant éventuellement cette même clé, puis supprimez-la sur la plateforme. Actualisez la liste des clés. Une actualisation ultérieure dans l’ancienne application ne devrait plus récupérer de données privées du compte avec cet identifiant ; consignez le résultat sans prendre un ancien solde affiché pour une preuve d’accès. Supprimez aussi la connexion enregistrée dans l’application.

Si vous avez encore besoin de rapports, créez une connexion distincte et correctement limitée après avoir vérifié les exigences du nouveau service. Laissez l’ancienne clé révoquée. Votre compte rendu doit identifier la connexion retirée, son éventuelle remplaçante, l’heure de vérification et les questions non résolues. N’y joignez aucun identifiant secret. [2][3]

Si la vérification échoue

Si l’ancienne clé reste active après confirmation, cessez de créer des remplaçantes et contactez la plateforme par un canal d’assistance ouvert indépendamment. Si la nouvelle clé ne se connecte pas, vérifiez la compatibilité du produit, le compte sélectionné, les droits, l’adresse autorisée et l’enregistrement effectif du nouvel identifiant dans l’application. Ne résolvez pas une erreur inexpliquée en activant toutes les permissions.

Si les activités inconnues continuent, utilisez depuis un appareil de confiance la procédure de la plateforme pour un compte compromis. Préservez les horodatages et identifiants de transaction sans divulguer de secrets. Examinez les autres clés et sessions : un changement de clé API ne constitue pas à lui seul une investigation complète du compte.

Prévoyez une nouvelle vérification lorsque vous cessez d’utiliser un service, changez son hébergement ou apprenez un incident pertinent. L’objectif est un inventaire exact et la révocation confirmée des accès inutiles, avec les dépendances restantes clairement consignées. [2][3]

Questions fréquentes

La lecture seule signifie-t-elle une absence de risque ?

Non. Elle limite les actions mais peut divulguer les soldes et l’historique du compte. Accordez seulement l’accès aux informations nécessaires à la tâche. [2]

Supprimer un bot révoque-t-il sa clé ?

Ne le supposez pas. Vérifiez la gestion API sur la plateforme et révoquez-y l’identifiant ; supprimez séparément la connexion enregistrée dans l’application. [3]

Faut-il trader pour tester la nouvelle clé ?

Non. Commencez par une actualisation autorisée du solde et examinez les permissions enregistrées. Ne passez pas d’ordre financier uniquement pour tester l’accès. [3]

Preuves et sources

Document source: 29 oct. 2026 · Vérifié: 5 nov. 2026

Limites des documents · Documentation officielle vérifiée le 5 novembre 2026. La page de configuration de Kraken Pro a été actualisée le 29 octobre 2026. Ce guide préventif ne rapporte pas un nouveau piratage. Les réglages varient selon le produit.

[1]Rapporté par une source
Kraken Pro documente des permissions API distinctes et des restrictions facultatives de réseau et d’expiration.
Extrait à l’appui: Kraken Pro : créer et configurer une clé API
Traduction de l’extrait
Die IP-Adressbeschränkung ist eine Sicherheitsfunktion
Citation originale
Die IP-Adressbeschränkung ist eine Sicherheitsfunktion
So erstellen Sie einen API-Schlüssel auf Kraken Pro ↗
Langue source: DE · Collecté 5 nov. 2026
[2]Rapporté par une source
Kraken recommande de réduire les permissions API au minimum et de supprimer les clés devenues inutiles.
Extrait à l’appui: Kraken : sécurité des clés API
Traduction de l’extrait
Lösche regelmäßig API-Schlüssel, die nicht mehr relevant sind.
Citation originale
Lösche regelmäßig API-Schlüssel, die nicht mehr relevant sind.
Sicherheit für API-Schlüssel ↗
Langue source: DE · Collecté 5 nov. 2026
[3]Rapporté par une source
Coinbase Exchange documente la révocation de la clé existante avant la création et le test de sa remplaçante.
Extrait à l’appui: Coinbase Exchange : renouveler une clé API
Traduction de l’extrait
First, revoke or delete the current API key.
Citation originale
First, revoke or delete the current API key.
How to rotate your API key ↗
Langue source: EN · Collecté 5 nov. 2026
[4]Rapporté par une source
Coinbase Exchange distingue View, Trade, Transfer et Manage et avertit que Transfer contourne l’authentification à deux facteurs.
Extrait à l’appui: Coinbase Exchange : créer une clé API
Traduction de l’extrait
Key can transfer value for accounts, including deposits and withdrawals (and bypasses 2FA)
Citation originale
Key can transfer value for accounts, including deposits and withdrawals (and bypasses 2FA)
How to create an API key ↗
Langue source: EN · Collecté 5 nov. 2026