Une clé API, c'est un double de votre compte

Un bot de trading ne se connecte pas à votre compte comme vous le faites. Il n'ouvre pas de navigateur, ne saisit pas de mot de passe, ne valide pas de code à deux facteurs. Il signe des requêtes avec une clé API, c'est-à-dire un identifiant, un secret, et parfois une phrase de passe supplémentaire, comme chez Bitget.

L'intérêt est évident: le programme peut lire un solde et passer un ordre en une fraction de seconde, sans intervention humaine. Un carry delta-neutre qui doit ouvrir un achat au comptant et une vente à découvert sur le perpétuel en même temps ne peut pas attendre qu'un humain clique deux boutons.

Le revers est moins intuitif. Une connexion par clé API ne déclenche pas les alertes habituelles. Binance l'écrit dans un article de sécurité publié en avril 2026: l'activité est traitée par le système comme une action autorisée par le propriétaire du compte. Pas d'email "nouvelle connexion depuis un appareil inconnu", pas d'historique de connexion suspect. La fuite d'une clé est silencieuse, et c'est exactement ce qui la rend dangereuse.

C'est pour cette raison qu'un investisseur doit regarder une seule chose avant de confier son capital à un outil automatique: les permissions exactes de la clé qu'on lui demande de créer.

Les permissions, de la plus inoffensive à la plus dangereuse

Les exchanges découpent l'accès en plusieurs niveaux. Les noms changent d'une plateforme à l'autre, la logique est la même.

  • Lecture: voir les soldes, les positions, l'historique des ordres et des frais. Aucune modification possible. Un tableau de bord ou un outil fiscal se contente de cela.
  • Trading: passer et annuler des ordres. C'est la permission dont un bot a besoin pour travailler.
  • Transfert: déplacer des fonds entre vos propres sous-comptes ou comptes internes. Utile pour une trésorerie, inutile pour une stratégie.
  • Retrait: envoyer des fonds vers une adresse externe. C'est le seul droit qui fait sortir l'argent de l'exchange.

Bitget documente ces quatre familles noir sur blanc dans sa documentation API. Binance en décrit trois, et qualifie le retrait de permission la plus dangereuse, avec un accès direct et irréversible aux actifs.

La différence entre ces lignes n'est pas théorique. Elle sépare deux risques qui n'ont rien à voir: perdre de l'argent parce que la stratégie se trompe, et perdre tout son capital parce qu'une clé a fuité.

Pourquoi le droit de retrait change la nature du risque

Sans droit de retrait, le pire scénario reste un mauvais trade. Un attaquant qui vole une clé limitée à la lecture et au trading peut ouvrir des positions absurdes, les fermer au mauvais moment, brûler des frais. Les dégâts sont réels, mais ils sont bornés par le solde et surtout réversibles: on supprime la clé, on reprend la main, les fonds sont toujours sur le compte.

Avec le droit de retrait, il n'y a plus de scénario, il y a une seule action. Un appel d'API suffit pour vider le compte vers une adresse externe. Une transaction on-chain ne s'annule pas. Le support de l'exchange ne rembourse pas une opération signée avec votre clé.

C'est la ligne de partage à retenir: une clé de trading vole du temps et de la performance, une clé de retrait vole le capital.

Les plateformes le savent. Chez Bitget, un retrait par API n'est possible que depuis une adresse IP préalablement autorisée. Chez Binance, le retrait par API est également conditionné à une liste blanche d'adresses. Ces verrous réduisent le risque, ils ne le suppriment pas: si la clé fuit depuis votre propre serveur, c'est votre serveur qui est l'adresse autorisée.

Un carry delta-neutre n'a jamais besoin de retirer

C'est le point le plus concret pour juger un service de carry.

Rappelons le mécanisme. Un carry delta-neutre achète l'actif au comptant et vend le même actif sur le contrat perpétuel. Les deux positions s'annulent en sensibilité au prix. Ce que l'on encaisse, c'est le funding rate, ce paiement périodique que les positions courtes reçoivent quand le marché des perpétuels est haussier, c'est-à-dire quand les traders à levier paient pour rester longs.

Pour exécuter cette stratégie, un moteur a besoin de:

  • lire le solde, les positions et le funding courant;
  • passer et annuler des ordres sur le comptant et sur le perpétuel;
  • ajuster parfois le levier ou le mode de marge d'un symbole.

Aucune de ces opérations ne demande d'envoyer des fonds vers l'extérieur. Les dépôts se font depuis l'interface de l'exchange, avec mot de passe et double authentification. Les retraits aussi, et c'est très bien ainsi: ils doivent rester une action humaine, faite par le propriétaire du compte, jamais par un programme.

Une clé de bot correctement configurée ressemble donc à ceci: lecture activée, trading activé, transfert désactivé, retrait désactivé, adresse IP du serveur autorisée, et une clé distincte par usage.

"Sans retrait" ne veut pas dire "sans risque"

Il serait malhonnête de s'arrêter là. Binance décrit un scénario précis qui ne demande aucun droit de retrait: l'attaquant utilise une paire très peu liquide pour échanger ses propres jetons contre vos actifs solides, à un prix qu'il fixe lui-même. Votre clé achète, il vend, et vous vous retrouvez avec des tokens invendables à la place de votre BTC.

La même clé peut aussi modifier le levier, changer le mode de marge, fermer une jambe du carry et laisser l'autre nue. Un bot détourné ne vole pas forcément, il peut simplement détruire.

Deux garde-fous réduisent vraiment ce risque.

La liste blanche d'adresse IP. La clé ne fonctionne que depuis le serveur que vous avez déclaré. Une clé volée devient alors inutilisable depuis un autre endroit du monde. C'est la protection la plus efficace après la désactivation du retrait, et les exchanges recommandent explicitement de l'activer. Binance va plus loin: une clé sans restriction IP et inactive pendant trente jours est supprimée automatiquement.

Une clé par usage. Un tableau de bord en lecture seule ne doit pas partager la clé du moteur de trading. Des clés séparées limitent les dégâts en cas de fuite et permettent de savoir quel composant a été compromis. Révoquer l'une ne coupe pas les autres.

Les questions à poser avant de donner une clé

Un service qui gère de l'argent automatique doit répondre sans hésiter à cette liste. Si une réponse est floue, c'est déjà une réponse.

  • Quelles permissions exactement, et pourquoi chacune est nécessaire?
  • Le droit de retrait est-il désactivé, oui ou non?
  • Y a-t-il une liste blanche IP, et quelle adresse est autorisée?
  • Où est stocké le secret, et qui peut le lire?
  • Puis-je révoquer la clé moi-même, à tout moment, sans prévenir personne?
  • Que se passe-t-il pour mes positions si je révoque la clé pendant que le bot tourne?

La dernière question est la plus importante et la plus rarement posée. Une révocation doit arrêter le bot, pas laisser des positions orphelines sans surveillance. Un moteur sérieux documente ce comportement, idéalement avec un mode qui ferme proprement les jambes ou qui laisse des ordres de protection en place.

Vérifier une clé en trois minutes

Vous n'avez pas besoin de lire du code pour contrôler ce qui a été créé.

  1. Dans l'interface de l'exchange, ouvrez la gestion des clés API. Chaque clé affiche ses permissions et son adresse IP autorisée. Vérifiez la case retrait, elle doit être vide.
  2. Par l'API elle-même, l'endpoint de Bitget /api/v3/account/info renvoie l'IP autorisée, le type de permission et la liste des droits accordés, où le retrait apparaît sous le nom withdraw. Si ce mot figure dans la réponse, la clé est trop puissante.
  3. Regardez la date de dernier usage et l'historique des ordres. Une clé utilisée à des heures où votre bot ne tourne pas mérite une explication.
  4. Testez la révocation sur une clé de faible importance avant de monter en taille. Vous saurez en trente secondes si le processus est simple ou s'il faut ouvrir un ticket.

Ce contrôle prend moins de temps que la création d'un compte sur un exchange, et il vaut plus cher que n'importe quelle promesse de performance.

Ce que cela change pour la relation avec un prestataire

La différence entre "confiez-nous vos fonds" et "donnez-nous un droit de trading limité sur votre propre compte" est structurelle, pas commerciale.

Dans le premier cas, vous devenez créancier d'une société: son bilan, sa solvabilité et son honnêteté déterminent si vous revoyez votre argent. Dans le second, vos actifs restent sur votre compte, à votre nom, et le prestataire ne peut que passer des ordres dans le périmètre autorisé. Vous pouvez révoquer l'accès sans demander la permission, et vous pouvez vérifier les positions à tout moment depuis l'interface de l'exchange.

Cela ne rend pas le service sans risque, cela déplace le risque vers l'endroit où il est visible: la stratégie et son exécution, pas la garde des fonds.

Un dernier détail qui compte: la phrase de passe. Chez Bitget, elle est choisie par l'utilisateur et ne peut pas être récupérée. Si elle est perdue, la clé doit être recréée. Un prestataire qui demande à conserver votre phrase de passe en clair, ou qui propose de créer la clé à votre place pendant un partage d'écran, reproduit exactement le schéma d'arnaque décrit par Binance.

Sources

Les risques

Une clé bien configurée protège contre le vol, pas contre une perte. Le carry delta-neutre reste une stratégie de marché: si le funding s'inverse durablement, la position coûte au lieu de rapporter. Le short perpétuel peut être liquidé si la marge est mal dimensionnée ou si le prix s'emballe brutalement, même avec une jambe au comptant en face. Les frais d'entrée et de sortie, les écarts de spread et les incidents techniques d'un exchange peuvent effacer plusieurs mois de rendement. Le risque de contrepartie propre à la plateforme, le risque de règlement sur le stablecoin utilisé et le risque opérationnel d'un bug logiciel ne disparaissent pas parce que les fonds restent sur votre compte. Enfin, aucun chiffre passé ne garantit un résultat futur, et rien dans cet article ne constitue un conseil en investissement personnalisé: chaque situation dépend d'un horizon, d'une tolérance au risque et d'un capital qui ne peuvent être évalués que par la personne concernée.