Clé API en lecture seule : les droits à cocher sur Kraken, Coinbase et OKX

Une clé API en lecture seule est une clé d'accès à ton compte sur une plateforme qui permet de consulter tes soldes, tes ordres et ton historique, sans pouvoir passer un ordre, transférer ni retirer.

Pourquoi les droits de la clé comptent

Une application qui suit ton portefeuille garde ta clé pour appeler la plateforme à ta place. Si cette clé fuit, elle donne ses droits, et seulement eux. Coinbase prévient pour sa permission Transfer : qui obtient le secret d'une telle clé peut envoyer toutes tes cryptos hors de ton compte. Une clé en lecture seule ne montre que ce que tu vois toi-même.

Les droits sur chaque plateforme

Ce que chaque droit permet

• Kraken : les droits de consultation lisent les fonds, les ordres ouverts et fermés, le registre et les exports ; ceux de dépôt, de retrait et d'ordres agissent sur le compte.
• Kraken Futures : une clé à part. En lecture seule, elle n'ouvre que les points d'accès qui n'écrivent rien sur le serveur. L'accès complet en fait une clé maîtresse, et les retraits dépendent d'un droit séparé, la Withdrawal API.
• Coinbase : View consulte le compte, Trade passe des ordres, Transfer envoie des fonds.
• OKX : Read consulte le compte et son historique ; Trade passe et annule des ordres, transfère des fonds et change des réglages ; Withdraw retire.

Limiter la clé à une adresse IP

Une clé peut aussi être limitée à des adresses IP : la plateforme la refuse si l'appel vient d'ailleurs, même avec le bon secret.

• Kraken propose, pour chaque clé, une liste d'adresses IP autorisées et une date d'expiration.
• Coinbase recommande sa liste d'adresses IP autorisées, sans l'imposer.
• OKX accepte jusqu'à 20 adresses IP par clé. Une clé qui peut trader ou retirer sans être liée à une adresse IP expire après 14 jours sans usage.

Hyperliquid : pas de clé du tout

Le point d'accès info de Hyperliquid répond pour n'importe quelle adresse, donnée en clair dans la requête : pour suivre un compte, son adresse suffit. Hyperliquid précise de donner l'adresse du compte lui-même, pas celle d'un wallet d'API, qui renvoie un résultat vide.

Vérifier une clé après coup

• Relis ses droits : la page API de la plateforme affiche ceux de chaque clé.
• Supprime une clé inutile : une clé supprimée ne sert plus à rien, même si son secret a fui.
• Remplace une clé dont tu doutes : crée la nouvelle, mets-la dans l'application, vérifie qu'elle marche, puis supprime l'ancienne.

Comment CentraFIN traite ta clé

• Vérifiée avant d'être gardée : CentraFIN demande à Coinbase et à OKX les droits d'une nouvelle clé, et la refuse si elle peut trader, transférer ou retirer. Kraken ne permet pas cette vérification : la fenêtre d'ajout liste les droits à cocher.
• Chiffrée : la clé et son secret sont chiffrés (AES-256-GCM) dès leur arrivée et ne sont plus jamais affichés.
• Une seule adresse : les appels partent de notre relais, 130.110.240.91, l'adresse à autoriser sur ta clé.

Pour chaque plateforme, pas à pas : Kraken, Kraken Futures, Coinbase, OKX et Hyperliquid.

Sources

• Kraken : créer une clé API
• Kraken Futures : créer une clé API
• Coinbase : authentification par clé API
• OKX : création d'une clé API
• Hyperliquid : le point d'accès info

Questions fréquentes

Une clé en lecture seule peut-elle vider mon compte ?

Non. Elle ne peut ni passer d'ordre, ni transférer, ni retirer. Elle montre en revanche tes soldes et ton historique à qui la détient.

Faut-il une clé par application ?

C'est préférable : tu peux alors en supprimer une sans toucher aux autres.

Pourquoi limiter la clé à une adresse IP ?

Parce qu'une clé volée devient inutilisable ailleurs : la plateforme refuse tout appel qui ne vient pas d'une adresse autorisée.

Que voit CentraFIN avec ma clé ?

Ce qu'elle permet de consulter : soldes, positions, ordres, exécutions et transferts. Rien de plus, puisqu'elle ne peut rien faire d'autre.