Clé API en lecture seule : les droits à cocher sur Kraken, Coinbase et OKX

Une clé API en lecture seule est une clé d'accès à votre compte sur une plateforme qui permet de consulter vos soldes, vos ordres et votre historique, sans pouvoir passer un ordre, transférer ni retirer.

Pourquoi les droits de la clé comptent

Une application qui suit votre portefeuille garde votre clé pour appeler la plateforme à votre place. Si cette clé fuit, elle donne ses droits, et seulement eux. Coinbase prévient pour sa permission Transfer : qui obtient le secret d'une telle clé peut envoyer toutes vos cryptomonnaies hors de votre compte. Une clé en lecture seule ne montre que ce que vous voyez vous-même.

Les droits sur chaque plateforme

Ce que chaque droit permet

• Kraken : les droits de consultation lisent les fonds, les ordres ouverts et fermés, le registre et les exports; ceux de dépôt, de retrait et d'ordres agissent sur le compte.
• Kraken Futures : une clé distincte. En lecture seule, elle n'ouvre que les points d'accès qui n'écrivent rien sur le serveur. L'accès complet en fait une clé maîtresse, et les retraits dépendent d'un droit séparé, la Withdrawal API.
• Coinbase : View consulte le compte, Trade passe des ordres, Transfer envoie des fonds.
• OKX : Read consulte le compte et son historique; Trade passe et annule des ordres, transfère des fonds et change des réglages; Withdraw retire.

Limiter la clé à une adresse IP

Une clé peut aussi être limitée à des adresses IP : la plateforme la refuse si l'appel vient d'ailleurs, même avec le bon secret.

• Kraken propose, pour chaque clé, une liste d'adresses IP autorisées et une date d'expiration.
• Coinbase recommande sa liste d'adresses IP autorisées, sans l'imposer.
• OKX accepte jusqu'à 20 adresses IP par clé. Une clé qui peut négocier ou retirer sans être liée à une adresse IP expire après 14 jours sans usage.

Hyperliquid : pas de clé du tout

Le point d'accès info d'Hyperliquid répond pour n'importe quelle adresse, donnée en clair dans la requête : pour suivre un compte, son adresse suffit. Hyperliquid précise qu'il faut donner l'adresse du compte lui-même, pas celle d'un portefeuille d'API, qui renvoie un résultat vide.

Vérifier une clé après coup

• Relisez ses droits : la page API de la plateforme affiche ceux de chaque clé.
• Supprimez une clé inutile : une clé supprimée ne sert plus à rien, même si son secret a fui.
• Remplacez une clé dont vous doutez : créez la nouvelle, mettez-la dans l'application, vérifiez qu'elle fonctionne, puis supprimez l'ancienne.

Comment CentraFIN traite votre clé

• Vérifiée avant d'être gardée : CentraFIN demande à Coinbase et à OKX les droits d'une nouvelle clé, et la refuse si elle peut négocier, transférer ou retirer. Kraken ne permet pas cette vérification : la fenêtre d'ajout liste les droits à cocher.
• Chiffrée : la clé et son secret sont chiffrés (AES-256-GCM) dès leur arrivée et ne sont plus jamais affichés.
• Une seule adresse : les appels partent de notre relais, 130.110.240.91, l'adresse à autoriser sur votre clé.

Pour chaque plateforme, étape par étape : Kraken, Kraken Futures, Coinbase, OKX et Hyperliquid.

Sources

• Kraken : créer une clé API
• Kraken Futures : créer une clé API
• Coinbase : authentification par clé API
• OKX : création d'une clé API
• Hyperliquid : le point d'accès info

Questions fréquentes

Une clé en lecture seule peut-elle vider mon compte?

Non. Elle ne peut ni passer d'ordre, ni transférer, ni retirer. Elle montre en revanche vos soldes et votre historique à qui la détient.

Faut-il une clé par application?

C'est préférable : vous pouvez alors en supprimer une sans toucher aux autres.

Pourquoi limiter la clé à une adresse IP?

Parce qu'une clé volée devient inutilisable ailleurs : la plateforme refuse tout appel qui ne vient pas d'une adresse autorisée.

Que voit CentraFIN avec ma clé?

Ce qu'elle permet de consulter : soldes, positions, ordres, exécutions et transferts. Rien de plus, puisqu'elle ne peut rien faire d'autre.