Connecter son exchange à un outil de suivi : que peut faire une clé API en lecture seule ?

3 novembre 2026 · Par Talu

Une application de suivi doit lire votre compte d'exchange, et pour cela il faut lui donner une clé API. Hésiter est normal. Une clé limitée à la lecture ne peut ni passer un ordre ni retirer vos fonds. Elle peut quand même révéler ce que vous détenez : autant savoir où se trouve le vrai risque.

Qu'est-ce qu'une clé API ?

Une clé API est un accès que votre exchange crée pour un programme extérieur. Elle s'accompagne d'un secret et de permissions que vous choisissez : lecture, trading, retrait. Le programme peut faire ce que ces permissions autorisent, et rien d'autre. Un outil de suivi n'a besoin que de lire.

Ce qu'une clé en lecture seule peut faire, et ce qu'elle ne peut pas

• Elle peut lire vos soldes, vos positions et votre historique d'ordres.
• Elle ne peut pas passer un ordre, déplacer des fonds entre comptes ni retirer.

Si une clé en lecture seule fuite, le dommage est donc réel mais limité : quelqu'un apprend ce que vous détenez et ce que vous avez tradé. Avec cette clé, il ne peut pas prendre les fonds. Il peut en revanche se servir de ces informations, par exemple pour vous écrire un message d'arnaque crédible.

D'où vient le vrai risque

• Une clé avec trop de permissions. Une clé qui peut trader ou retirer, c'est tout autre chose. Un outil de suivi n'a aucun usage de ces droits.
• Un faux site ou un faux support. La clé n'est pas la seule chose qu'on vous demandera. Aucun outil de suivi n'a besoin de votre clé privée, de votre phrase de récupération ni du mot de passe de votre exchange.
• Une faille chez l'outil lui-même. Tout service en ligne peut être piraté. C'est pour cela que ce que vous lui donnez compte : une clé en lecture seule limite ce qu'une faille peut exposer.

Créer une clé sûre, en cinq étapes

1. Ouvrez la page API de votre exchange, depuis son site officiel, et créez une nouvelle clé rien que pour cet outil.
2. Cochez seulement la lecture. Laissez le trading, les retraits, les transferts et la marge désactivés.
3. Donnez-lui le nom de l'outil, pour savoir plus tard quoi révoquer.
4. Collez la clé et le secret dans l'outil, sur sa véritable adresse.
5. Une fois par an, ou dès que vous n'utilisez plus l'outil, révoquez la clé sur l'exchange.

Les exchanges aident plus ou moins. Le guide de Binance (en anglais), par exemple, indique qu'une clé standard sans restriction d'IP n'a aucune autre permission que la lecture, et que les retraits exigent une restriction d'IP.

Ce que Talu Crypt fait de votre clé

• Binance, Bitfinex, Bybit, OKX et Coinbase : notre serveur demande à l'exchange ce que la clé peut faire. Si elle peut trader, retirer, transférer ou utiliser la marge, elle est refusée et n'est pas stockée.
• Kraken, Kraken Futures, MEXC et Bitpanda n'indiquent pas les permissions d'une clé, et Aster pas toujours. L'application vous prévient qu'elle n'a pas pu vérifier : assurez-vous de n'avoir coché que la lecture.
• Stockage : les clés et les secrets sont chiffrés avant d'atteindre la base de données. Une clé enregistrée revient masquée à votre navigateur, et le secret n'y revient jamais.
• La limite : Talu Crypt est construit par un seul développeur, sans audit par une société de sécurité. C'est une raison de plus de s'en tenir à la lecture seule.

Tout le détail est sur la page Sécurité.

Réponses rapides

Une clé en lecture seule peut-elle retirer mes cryptos ?

Non. Un retrait demande une permission qu'une clé en lecture seule n'a pas.

Faut-il révoquer une clé que je n'utilise plus ?

Oui. Cela prend une minute sur l'exchange, et une clé qui n'existe plus ne peut pas fuiter.

Peut-on suivre ses cryptos sans aucune clé ?

Oui. Un portefeuille se suit avec sa seule adresse publique, et une crypto peut s'ajouter à la main avec sa quantité. Un solde d'exchange saisi à la main ne se met simplement pas à jour tout seul.

Essayez la démo, sans compte ni clé, pour voir ce qu'affiche un outil de suivi avant de connecter quoi que ce soit.