Clés d’API sur les plateformes crypto : quels droits votre outil fiscal exige vraiment et lesquels désactiver

Une clé d’API n’est pas un mot de passe et n’est pas un accès à votre compte au sens habituel. C’est une procuration aux droits cochables un à un, que vous confiez à un logiciel tiers : à l’outil fiscal qui rassemble vos transactions pour la déclaration, au suiveur de portefeuille ou au robot de trading. Ce qui compte, ce sont les cases que vous cochez au moment de la créer. Nous avons regardé quels droits proposent réellement les places que les investisseurs allemands utilisent, et où se logent les réglages par défaut dangereux.

Ce qu’une clé d’API ouvre sur une place d’échange de cryptomonnaies

Une clé d’API se compose de deux chaînes de caractères, une clé publique et une contrepartie secrète, avec lesquelles un programme s’identifie auprès de la place sans connaître votre mot de passe. C’est précisément le point : parce que la clé est une identité à part entière, elle porte aussi son propre jeu de droits. Un programme qui lit votre historique de transactions pour la déclaration fiscale a besoin de droits de lecture, et de rien d’autre.

Dans la pratique, c’est souvent l’inverse qui se produit. Qui veut en finir vite coche tout ce qui est proposé, faute de savoir ce que l’outil voudra interroger plus tard. La clé dort alors des années durant dans un compte étranger en portant des droits qui n’ont jamais servi. Pour le bitcoin comme pour tout autre avoir sur la même place, cette procuration vaut alors à l’identique.

Le déclencheur : une vague d’hameçonnage en septembre visait exactement ces clés

Le 10 septembre 2026, des attaquants ont obtenu l’accès à des comptes clients du prestataire de messagerie Brevo et ont expédié par ce biais des messages issus des véritables circuits d’envoi de fournisseurs crypto connus. Étaient concernés, entre autres, des utilisateurs de fabricants de portefeuilles matériels et de services fiscaux et de suivi. Ce qui distingue cette vague de l’hameçonnage ordinaire, c’est l’adresse d’expéditeur : elle était authentique, et les repères habituels ne fonctionnaient pas. Nous avons traité l’incident dans notre article sur la fuite chez Brevo et les données d’utilisateurs concernées.

Pour les personnes touchées qui ont saisi des identifiants sur une telle page, la recommandation des fournisseurs est unanime : changer le mot de passe, vérifier l’authentification à deux facteurs et, si des clés d’une place d’échange y avaient été inscrites, les révoquer directement auprès de la place et en créer de nouvelles. Ce dernier point passe régulièrement à la trappe dans l’agitation, car beaucoup d’investisseurs ne savent même plus combien de clés ils ont distribuées au fil des ans.

Ce que nous avons examiné, et comment

Ce relevé a été établi par cryptoticker.io le 16 septembre 2026. Méthode : nous avons consulté les pages de documentation et d’aide publiquement accessibles des fournisseurs et n’avons exploité que ce qui y figure en clair, sans ouvrir de compte et sans créer de clé. Douze pages de huit fournisseurs et outils ont été examinées.

Trois limites en font partie, et ce ne sont pas des formalités. Les pages d’aide de Bitvavo et de Bitpanda ont répondu à notre requête automatisée par le code 403 et bloquent donc les machines, non les lecteurs ; nous avons confirmé leur contenu par la version publiquement indexée. La page d’aide de Binance a répondu par le code 202 et n’a livré aucun texte exploitable. Et nous n’avons pas mesuré si les places appliquent en exploitation les droits documentés exactement comme elles les décrivent.

Kraken, Bitvavo et Binance : quels droits vous accordez un par un

Le constat d’abord : les trois places séparent la lecture, la négociation et le retrait en droits distincts, et toutes trois proposent une restriction à des adresses IP fixes. La différence tient au détail, et c’est le détail qui tranche.

Kraken : la répartition la plus fine des trois

Kraken découpe les droits plus finement que ses concurrents. La page d’aide de Kraken sur la création d’une clé d’API énumère notamment « Query Funds », « Deposit Funds » et « Withdraw Funds » pour le volet monétaire, ainsi que « Query Open Orders & Trades », « Query Closed Orders & Trades », « Modify Orders » et « Cancel/Close Orders » pour la négociation, auxquels s’ajoutent « Query Ledger Entries » et « Export Data ». Le retrait est une case à part : selon la documentation, « Withdraw Funds » n’est requis que pour les points d’accès de retrait. Un réglage mérite d’être noté car il manque ailleurs : Kraken autorise une date d’expiration pour la clé, expressément aussi pour de courtes durées comme une semaine.

Pour un outil fiscal, les droits d’interrogation accompagnés de « Query Ledger Entries » et « Export Data » suffisent donc. Tout le reste peut rester désactivé.

Bitvavo : trois droits, et une phrase à connaître

Bitvavo connaît trois droits : consulter les données du compte et les avoirs, négocier, et retirer vers une adresse externe ou un compte bancaire vérifié. À la création, vous fixez en outre les adresses IP depuis lesquelles la clé est valable, et la création suppose une authentification à deux facteurs active. La phrase la plus importante de la page d’aide de Bitvavo sur les clés d’API concerne toutefois le retrait : les retraits demandés au moyen d’une clé d’API contournent la demande du deuxième facteur.

Qui croit donc que le deuxième facteur rattrape tout en cas de coup dur se trompe pour cette voie précise. L’authentification à deux facteurs protège votre connexion. Une clé dotée du droit de retrait travaille à côté d’elle.

Binance : un droit de négociation à péremption intégrée

Binance sépare la lecture, la négociation au comptant et sur marge et les retraits en interrupteurs distincts. La particularité est une règle que beaucoup d’utilisateurs ne remarquent que lorsque leur robot s’arrête brusquement : sans adresse IP enregistrée, le droit de négociation expire de lui-même au bout de 90 jours et se désélectionne automatiquement. Avec une restriction IP, il demeure. Le droit de retrait, quant à lui, ne peut être activé que si une restriction IP est posée.

Ce couplage est le plus strict parmi les fournisseurs examinés, et il fait figure de modèle : le droit le plus dangereux n’est accordé qu’avec le réglage qui le désamorce.

Pourquoi une clé sans droit de retrait peut tout de même coûter de l’argent

L’hypothèse qui vient à l’esprit est la suivante : sans droit de retrait, une clé volée ne peut causer aucun dommage. Cette hypothèse est trop optimiste, et la littérature spécialisée la contredit depuis des années. Des chercheurs en sécurité ont décrit comment des attaquants monnaient malgré tout des clés dépourvues du droit de retrait : ils négocient l’avoir d’autrui contre leurs propres ordres sur des marchés peu liquides. L’avoir ne quitte jamais la place, il change seulement de propriétaire à des cours absurdes. Deux schémas reviennent sans cesse, le rachat d’un mur de vente et la montée délibérée d’un jeton illiquide.

À côté de cela se tient une appréciation plus sobre, issue de la pratique des développeurs, qui ne minimise pas le dommage mais le situe : sans droit de retrait, il ne reste au voleur qu’à conclure des opérations étranges, lesquelles sont mauvaises, limitées en montant et interrompues par la révocation de la clé. Les deux points de vue se concilient. Un droit de négociation n’empêche pas la perte, il la borne. Un droit de retrait, lui, ne connaît d’autre limite que votre solde.

Concrètement : si vous raccordez un robot de trading, le droit de négociation est inévitable, et vous devriez maintenir un avoir modeste sur le compte raccordé. Si vous raccordez un outil fiscal, il est tout simplement superflu.

La liste blanche d’adresses IP dévalorise une clé volée

La liste blanche d’adresses IP est le réglage le plus efficace disponible dans ce contexte, et en même temps le moins souvent posé. Elle détermine depuis quelles adresses internet la clé est acceptée. Un attaquant qui s’empare de la chaîne de caractères ne peut rien en faire tant qu’il n’émet pas, de surcroît, depuis cette adresse exacte. Bitvavo le formule clairement dans son aide : qui n’enregistre aucune liste d’adresses donne à quiconque possède les clés la possibilité de négocier dans le compte.

Le hic tient à l’usage domestique. Un outil fiscal récupère vos données depuis les serveurs de son fournisseur, non depuis votre ordinateur portable. L’adresse pertinente est donc celle du service, et il faut la lui demander ; les fournisseurs sérieux la publient. Pour un robot que vous exploitez vous-même sur un serveur loué, la chose est simple, car son adresse est fixe. Pour un robot sur l’ordinateur du domicile, avec une adresse changeante, elle est peu commode, et c’est précisément là que le champ reste vide.

Si vous ne pouvez pas poser la restriction IP, l’expiration reste comme solution de remplacement. Kraken propose pour cela une date d’expiration, Binance l’impose au droit de négociation au bout de 90 jours. Une clé qui mourra de toute façon dans trois mois pose un problème nettement moindre qu’une clé qui dort depuis 2021 dans un compte oublié.

Bitpanda, Trade Republic et Bison : quand il n’y a aucune clé à céder

Chez les fournisseurs auprès desquels beaucoup d’investisseurs allemands achètent réellement, la situation se présente autrement, et à leur avantage. Bitpanda délivre des clés d’API couvrant la négociation, les transactions et les avoirs, et ces accès sont exclusivement en lecture. Une clé qui ne connaît aucun droit de négociation ni de retrait ne peut pas non plus en perdre. Qui raccorde un outil fiscal n’a même pas la décision à prendre.

Trade Republic va un pas plus loin et ne propose aucune interface officielle aux particuliers. Depuis mai 2026, il existe à la place un export CSV de l’historique des transactions, que vous téléchargez et versez dans votre outil fiscal. C’est moins commode, puisque vous le faites à la main à chaque mise à jour, et plus sûr, puisque aucune procuration durable ne naît. Pour Bison, la même voie par l’export s’applique.

Un malentendu tenace se loge ici : les solutions bricolées issues de la communauté, c’est-à-dire les extensions de navigateur et les interfaces reconstituées, ne sont pas des accès officiels. Elles puisent dans la session ouverte. Ce que vous leur donnez n’est pas un droit étroitement circonscrit, mais votre connexion entière.

Outils fiscaux et obligation allemande de collaboration

La raison pour laquelle tant de clés d’API circulent en Allemagne se trouve dans le droit fiscal. Qui détient des actifs numériques dans son patrimoine privé doit pouvoir justifier les dates d’acquisition, les coûts d’acquisition et les cessions, car le délai d’un an et le montant du gain en dépendent. Aucun fournisseur ne produit ces justificatifs de lui-même sous la forme que le fisc veut voir. Beaucoup d’investisseurs recourent donc à un outil qui rassemble l’historique et produit un état, et c’est pour cela qu’ils délivrent une clé.

Quel outil entre en ligne de compte et ce qu’il coûte, nous l’avons détaillé dans notre comparatif de prix des logiciels fiscaux crypto ; le panorama des fournisseurs et de leurs voies d’import se trouve dans le pôle consacré aux logiciels fiscaux et suiveurs de portefeuille. Pour la question de sécurité, une seule chose importe : un outil qui exige un droit de négociation ou de retrait pour calculer l’impôt en exige trop. Aucune raison fiscale ne justifie de pouvoir négocier depuis un programme fiscal.

Un second point concerne le volume de données. Une clé en lecture donne au fournisseur un aperçu durable de l’intégralité de votre historique de transactions et de vos avoirs. C’est nécessaire au calcul, mais cela fait du fournisseur une cible rentable. C’est précisément pourquoi les courriels de septembre ont touché des clients de services fiscaux et de suivi, et pas seulement des détenteurs de portefeuilles.

Révoquer et recréer une clé d’API : le bon ordre

Si vous soupçonnez qu’une clé a fui, un ordre fixe s’applique, et la première étape revient à la place d’échange. Vous révoquez d’abord la clé dans les réglages de votre compte chez elle. À partir de cet instant, la chaîne de caractères ne vaut plus rien, quel qu’en soit le détenteur. Ce n’est qu’ensuite que vous en créez une nouvelle et l’inscrivez dans l’outil. Qui inverse l’ordre et fait d’abord le ménage du côté de l’outil laisse l’ancienne clé continuer de fonctionner.

Vient ensuite l’examen de l’historique du compte, sur deux points précis : les opérations que vous n’avez pas déclenchées vous-même, et les connexions ou accès depuis des adresses inconnues. Des opérations suspectes sur des jetons peu liquides sont le schéma typique de l’attaque décrite plus haut. Si vous trouvez quelque chose, cela revient sans délai au support de la place, par écrit et horodaté.

La troisième étape est la moins agréable : un inventaire complet de toutes les clés que vous avez un jour délivrées. Chaque place liste les clés actives dans ses réglages, le plus souvent avec la date de création et la dernière utilisation. Tout ce que vous ne pouvez pas rattacher avec certitude, vous le supprimez. Une clé encore utile se signalera en quelques jours par un outil qui ne tire plus de données. C’est un prix modique pour se débarrasser d’une procuration oubliée.

Ce que ce relevé ne montre pas

L’honnêteté sur les limites fait partie de toute enquête maison. Nous avons lu de la documentation, nous n’avons pas mesuré de comportement. Savoir si une place refuse réellement un droit décoché le jour venu ne pourrait se vérifier qu’avec un compte réel et des ordres réels, et nous ne l’avons pas fait. Ce relevé ne dit pas davantage avec quel soin chaque fournisseur fiscal ou de suivi conserve les clés qui lui sont confiées. C’est la véritable question ouverte, et elle ne se laisse pas trancher de l’extérieur.

Nous n’avons pas non plus examiné les offres qui ne sont pas entrées dans la sélection parce qu’elles ne jouent aucun rôle notable en Allemagne. Les modèles de droits peuvent y différer. Fiez-vous donc à la page de réglages de votre propre fournisseur, et non à un panorama, celui-ci compris.

Vérifier ses clés d’API : ce qu’il faut en retenir

1. Ouvrez aujourd’hui l’aperçu des API de votre place et comptez les clés qui s’y trouvent. Tout ce que vous ne pouvez rattacher à un outil en service est supprimé. Quelle place propose cet aperçu et avec quelle clarté, c’est notre pôle consacré aux meilleures places d’échange de cryptomonnaies qui le dit.
2. Retirez à toute clé destinée seulement à fournir des données le droit de négociation et celui de retrait. Pour un outil fiscal, la lecture suffit. Quels outils se contentent de droits purement lecture, le pôle consacré aux logiciels fiscaux et suiveurs de portefeuille le montre.
3. Posez une restriction IP et, si c’est impossible, une date d’expiration. Pour un robot que vous exploitez vous-même, l’adresse du serveur est fixe et le réglage prend deux minutes ; les fournisseurs correspondants se trouvent dans le pôle consacré aux robots de trading crypto.

Vérifier les droits chez votre place prend moins de temps que la lecture de ce texte. La différence n’apparaît que le jour où un courriel arrive d’une adresse d’expéditeur authentique et vous demande quelque chose qu’il ne doit pas obtenir.

(Au 16 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)