Glossaire / Achat et plateformes
Clé API de plateforme d'échange
- Qu'est-ce qu'une clé API de plateforme d'échange ?
- Une clé API de plateforme d'échange est un identifiant que vous générez pour permettre à un programme de trader, de lire ou de retirer sur votre compte sans votre mot de passe, avec les permissions que vous choisissez.
La clé est une seconde porte vers le même compte, ouverte par un jeton et une signature plutôt que par un écran de connexion. Les conditions d'utilisation de Bitstamp, mises à jour pour la dernière fois le 30 mai 2025, mettent toute perte liée à une clé que vous avez générée à votre charge, y compris l'accès non autorisé et la perte de fonds. Accordez un périmètre en lecture seule, jamais le retrait, et supprimez les clés que vous n'utilisez plus.
Comment cela fonctionne
Une clé API de plateforme d'échange se présente sous la forme d'une paire : un identifiant public nommant le compte, et un secret avec lequel l'appelant signe chaque requête. Le secret n'apparaît qu'une fois, à la création, et la plateforme en conserve sa propre copie pour vérifier chaque signature. À partir de là, un programme peut passer des ordres, récupérer des soldes ou déplacer des fonds en signant une requête, sans navigateur, sans demande de mot de passe et sans second facteur dans le chemin.
Les permissions sont tout le produit. Les conditions de Bitstamp le disent en une ligne : « The scope of access you permit by such API key is defined by you when you create API Key », et renvoient à la page de contrôle d'accès du compte. Les plateformes divisent ce périmètre en lecture, trading et retrait, et beaucoup permettent d'associer une clé à des adresses IP fixes, de sorte qu'un secret volé est inutile ailleurs. Une clé en lecture seule confiée à un outil de suivi ne peut pas vous faire perdre d'argent. Une clé dotée de la permission de retrait est une instruction permanente de payer quiconque détient le secret.
Sur le plan contractuel, une requête signée par votre clé est votre ordre. Les conditions de Bitstamp UK Limited, dans leur version datée du 01 juillet 2026, définissent une Instruction comme tout ordre ou instruction reçu de vous, et la clause API exclut toute responsabilité pour les pertes « resulting from use or Instructions submitted through API Keys ». La même clause figure dans les conditions de six entités du groupe, couvrant Bitstamp Limited, Bitstamp Europe S.A., Bitstamp USA Inc., Bitstamp UK Limited, Bitstamp Global Ltd et Bitstamp Asia Pte. Ltd. Bitstamp se réserve aussi le droit de suspendre toute clé sans préavis lorsqu'elle estime que la sécurité a été compromise.
Où vous la voyez
Les clés API de plateforme d'échange se trouvent dans les paramètres de sécurité de toute plateforme qui publie une interface de trading, généralement sous un intitulé comme contrôle d'accès. Vous en créez une pour connecter un outil de suivi de portefeuille, un outil fiscal, un script d'achat récurrent ou un tableur qui récupère votre historique de transactions. Une plateforme peut aussi laisser une application externe demander une clé en votre nom : Bitstamp appelle cela Bitstamp Connect, et exige votre consentement dans votre compte avant qu'une connexion d'intégrateur soit établie.
Deux habitudes couvrent l'essentiel du risque. Faites correspondre le périmètre à la tâche, puisqu'un outil fiscal qui lit votre historique d'exécutions n'a aucune raison de détenir des droits de trading ou de retrait, et révoquez une clé dès que son outil est abandonné, car rien dans une clé n'expire de lui-même. Si votre plateforme prend en charge la liste d'adresses IP autorisées, utilisez-la. Si vous pensez qu'un secret a fuité, supprimez d'abord la clé et enquêtez ensuite.
Un piège surprend ceux qui développent leurs propres outils. Les conditions britanniques de Bitstamp concèdent une licence sur les données de marché renvoyées par une clé pour le seul usage des données de marché autorisé, qui couvre la consultation des prix, le passage d'ordres, le rapprochement de vos transactions et le respect d'obligations fiscales ou d'audit. Republier ces prix, les fusionner avec les flux d'autres plateformes ou entraîner un modèle sur ceux-ci relève de l'usage commercial des données de marché et exige un accord distinct sur les données de marché.
Clé API de plateforme d'échange vs clé privée
Une clé privée contrôle du bitcoin sur la blockchain ; une clé API de plateforme d'échange contrôle un compte chez une entreprise. La différence apparaît quand l'une ou l'autre fuit. Une clé API compromise est révocable : supprimez-la, et la plateforme cesse d'honorer les signatures faites avec elle. Une clé privée compromise ne peut être révoquée par personne, car le réseau n'a aucune idée de qui devrait la détenir, et la seule défense est de déplacer les bitcoins vers une nouvelle clé avant le voleur. Cette asymétrie limite aussi ce qu'une clé API fuitée peut vous coûter : elle atteint le solde que la plateforme détient pour vous et rien de ce que vous avez déjà retiré.