2FA et Bots de Trading : Ce que cela protège et ce que cela ne protège pas

L'authentification à deux facteurs (2FA) protège le côté humain de la configuration d'un bot de trading : votre connexion à l'échange, votre e-mail et votre compte sur la plateforme de bot. Cependant, elle ne protège pas la connexion API du bot, car les clés API authentifient une communication de machine à machine et ne demandent pas de code. Une configuration sécurisée nécessite donc deux couches : une 2FA robuste sur chaque compte et des clés API strictement limitées pour le bot lui-même.

Ce guide explique où chaque contrôle s'applique, comment les configurer et que faire en cas de perte de votre authentificateur.

L'essentiel (TL;DR)

• La 2FA protège les connexions et les modifications de compte effectuées par un humain. Les clés API sont un chemin d'accès distinct et nécessitent leurs propres contrôles.
• La 2FA de trading n'est pas compatible avec la connexion par clé API ; elle ne peut donc pas protéger les requêtes authentifiées par API.
• Accordez au bot uniquement les permissions nécessaires, désactivez les retraits et restreignez les clés par adresse IP si l'échange le permet.
• Privilégiez les passkeys, puis les applications d'authentification. Sécurisez votre e-mail avec le même standard et stockez vos codes de secours hors ligne.
• Établissez un plan de réponse : révoquer les clés, annuler les ordres ouverts, changer les identifiants, puis enquêter.

Pourquoi la 2FA et les bots sont un cas particulier

La 2FA fonctionne en exigeant quelque chose que vous connaissez (un mot de passe) plus quelque chose que vous possédez (un appareil ou une clé). Ce modèle suppose qu'une personne est présente au moment de l'authentification. Un bot de trading automatisé est l'opposé : il doit placer et annuler des ordres à toute heure sans qu'un humain n'entre de code.

C'est pourquoi les plateformes d'échange séparent l'accès humain de l'accès programmatique. Les humains se connectent avec un mot de passe et un second facteur. Le logiciel se connecte avec une clé API et un secret, et les permissions attachées à cette clé définissent ce qu'il peut faire. La 2FA défend principalement les connexions contre le compromis des mots de passe, tandis que les clés API sont des identifiants machine-à-machine. Par conséquent, la 2FA de connexion ne doit pas être considérée comme une protection automatique pour les clés d'un bot.

La conséquence pratique est une division du travail :

Chaque ligne représente une porte différente. Verrouiller trois portes et en laisser une ouverte ne rend pas la maison sécurisée.

Ce que la 2FA protège côté plateforme d'échange

Sur un échange, la 2FA peut couvrir plus que la simple connexion. Elle peut s'appliquer à la clé maîtresse, au financement et au trading, étendant ainsi la protection aux actions qui déplacent de la valeur.

La 2FA de trading en est un bon exemple. Elle exige un code avant que des transactions ne soient effectuées, empêchant ainsi la modification des soldes et des positions sans accès au second facteur. Pour un trader manuel, c'est une sauvegarde utile contre quelqu'un qui aurait obtenu une session ou un mot de passe.

Cependant, pour l'automatisation, la limite est cruciale : la 2FA de trading n'est pas compatible avec la connexion par clé API. Si votre bot place des ordres via une clé API, un paramètre de 2FA de trading ne bloquera pas ces ordres. Ce sont les permissions de la clé qui doivent assurer ce rôle.

Passkeys vs codes d'authentification

Tous les seconds facteurs ne se valent pas. Les passkeys sont recommandées dès que possible. La raison est technique : les passkeys utilisent FIDO2 et sont résistantes au phishing car l'authentification est liée à l'origine du site web légitime. Un code d'authentification à six chiffres, en revanche, peut être saisi sur un faux site ou exposé si la synchronisation cloud de l'application est compromise.

Voici l'ordre de priorité pour vos comptes de trading :

1. Passkey ou clé de sécurité matérielle, si l'échange ou la plateforme le propose.
2. Application d'authentification (codes basés sur le temps), lorsque les passkeys ne sont pas disponibles.
3. Codes SMS, uniquement en dernier recours, car ils dépendent du contrôle de votre numéro de téléphone.

La mise sur liste blanche des adresses de retrait est également cruciale. Même si un attaquant accède à votre compte, les fonds ne peuvent être envoyés que vers des adresses approuvées au préalable.

N'oubliez pas votre e-mail

La plupart des flux de récupération de compte passent par l'e-mail. Si quelqu'un contrôle votre boîte de réception, il peut souvent réinitialiser le mot de passe de l'échange. Il est recommandé d'utiliser une 2FA basée sur une application pour le compte de l'échange ET pour le compte e-mail, et d'imprimer les codes de récupération pour les stocker en lieu sûr.

Checklist rapide pour les comptes entourant votre bot :

• E-mail : mot de passe unique, passkey ou 2FA authentificateur.
• Échange : passkey ou 2FA authentificateur pour la connexion, le financement et le trading.
• Plateforme de bot : mot de passe unique et 2FA si disponible.
• Gestionnaire de mots de passe : protégé par un mot de passe maître fort et sa propre 2FA.

Comment les bots se connectent réellement : les clés API

Une clé API permet à un logiciel d'agir sur votre compte d'échange sans votre mot de passe. Les permissions telles que "Modifier les ordres" et "Annuler/Fermer les ordres" sont celles qui permettent à un client API de trader. Bien que certaines plateformes permettent d'ajouter une 2FA à la clé API, la plupart des bots tiers ne sont pas conçus pour cela ; vous ne devez donc pas compter dessus.

La création d'une clé implique souvent la 2FA, mais cela ne protège que le moment de la création. Les permissions protègent tout ce qui suit. Pour plus de détails, consultez nos guides sur l'intégration d'échange basée sur l'API et l'intégration des clés API pour l'automatisation.

Sécuriser et restreindre les clés API

Puisque la 2FA ne bloque pas le bot, la clé elle-même doit être contrainte. Moins une clé a de permissions, moins les conséquences sont graves en cas de fuite.

Accorder uniquement le nécessaire

Une clé de trading tierce a besoin de la modification et de l'annulation des ordres, et éventuellement de la lecture des ordres ouverts, mais presque jamais des retraits.

Désactiver les retraits

C'est le paramètre le plus important. Une clé volée pourrait placer des trades perdants ou abusifs, mais elle ne pourra pas transférer directement vos fonds vers un portefeuille externe si les retraits sont désactivés.

Restreindre par adresse IP

Si l'échange le permet, autorisez uniquement les adresses IP depuis lesquelles le bot se connecte. Une clé restreinte à des adresses connues est inutile pour quelqu'un qui la copierait.

Stocker le secret correctement

Les secrets API ne sont souvent affichés qu'une seule fois. Conservez vos clés dans un gestionnaire de mots de passe plutôt que dans un fichier non chiffré. Ne collez jamais de clés dans des messages de chat ou des documents partagés.

Une clé par usage

Si vous utilisez plusieurs bots ou plusieurs échanges, créez une clé distincte pour chacun. Ainsi, révoquer une clé compromise n'interrompra pas tout le reste.

Configuration de la 2FA étape par étape

1. Sécurisez votre e-mail d'abord. Mot de passe unique et 2FA (passkey ou app).
2. Activez la 2FA sur l'échange. Choisissez une passkey ou une application d'authentification. Appliquez-la à la connexion, au financement et au trading.
3. Sauvegardez vos codes de récupération. Stockez-les hors ligne, séparément de vos mots de passe.
4. Activez les protections de retrait. Liste blanche d'adresses et confirmations de retrait.
5. Créez une clé API restreinte. Permissions d'ordres uniquement, retraits désactivés, et restriction IP si possible.
6. Connectez le bot. Saisissez la clé sur la plateforme, puis stockez le secret dans votre gestionnaire de mots de passe.
7. Testez en Paper Trading. Confirmez le comportement du bot avant d'engager du capital.

Si vous perdez votre authentificateur

La perte d'un téléphone est la panne 2FA la plus courante. Les codes de secours sont destinés précisément à ce cas et doivent être stockés en sécurité hors ligne.

Mesures pratiques :

• Enregistrez un second facteur (ex: deux passkeys) pour éviter d'être bloqué.
• Gardez vos codes de secours imprimés dans un endroit physiquement sécurisé.
• Connaissez la procédure de récupération de votre échange à l'avance.
• Ne stockez jamais vos codes de secours dans un e-mail ou une application de notes non protégée.

Plan de réponse en cas de compromission suspectée

Un plan d'incident réduit le stress et les erreurs. L'objectif est de contenir la menace d'abord :

1. Révoquez les clés API concernées et tout agent connecté sur l'échange.
2. Annulez les ordres ouverts et mettez le bot en pause.
3. Changez votre mot de passe de connexion et réenregistrez votre second facteur.
4. Examinez les ordres récents, les connexions et l'activité des clés API.
5. Si une phrase de récupération a été exposée, déplacez vos fonds vers un nouveau portefeuille.
6. Créez de nouvelles clés avec des permissions minimales et reconnectez-vous.

Notre perspective

Nous avons conçu Darkbot autour d'une exécution systématique, et la sécurité fait partie de cette discipline. Un bot n'est contrôlé que par l'accès qu'on lui donne. Nous traitons la 2FA et les permissions API comme deux couches distinctes : la 2FA protège les humains, et les clés restreintes limitent le logiciel.

Notre approche favorise le routage direct des ordres et la supervision humaine. Nous encourageons l'utilisation de clés API avec le strict minimum de permissions requises par la stratégie.

Le processus que nous préconisons est simple : définir le périmètre de la clé, la restreindre, la stocker correctement, tester en paper trading, puis monter en échelle progressivement.

Grisha

Utiliser Darkbot avec un compte d'échange sécurisé

Darkbot est une plateforme d'automatisation du trading de cryptomonnaies basée sur l'IA qui se connecte aux échanges via des clés API. La plateforme propose des stratégies personnalisables, du backtesting, du paper trading et des outils de gestion des risques pour vérifier le comportement du bot avant d'engager du capital.

Pour consulter les tarifs, visitez les prix de Darkbot. Pour approfondir notre approche de la protection des comptes, lisez notre article sur la sécurité des bots de trading crypto.

FAQ

La 2FA protège-t-elle les clés API de mon bot de trading ?

Pas directement. La 2FA protège les connexions humaines, tandis que les clés API authentifient les logiciels. Ce sont les permissions de la clé et la restriction IP qui assurent la sécurité du bot.

Quelles permissions une clé API de bot de trading doit-elle avoir ?

Uniquement celles nécessaires pour placer, modifier et annuler des ordres. Les retraits doivent impérativement rester désactivés.

Les passkeys sont-elles meilleures que les applications d'authentification ?

Oui, car elles sont résistantes au phishing et liées à l'origine du site web, contrairement aux codes à 6 chiffres qui peuvent être interceptés ou saisis sur un site frauduleux.

Que faire si je perds mon téléphone avec mon authentificateur ?

Utilisez vos codes de secours hors ligne ou un second facteur enregistré. Une fois l'accès retrouvé, faites pivoter vos clés API et changez vos mots de passe par prudence.

Sources

• Kraken: How does two-factor authentication (2FA) for trading work?
• Kraken: How to secure your account with two-factor authentication
• Kraken: How to create a spot API key
• Bitso: Generate your API credentials
• CoinSpot: Security Recommendations
• AICELS: API, Wallet and Key Security
• Binance: The Risks of Unauthorized AI Trading Bots
• PolyBot: Polymarket Telegram Bot 2FA Security Guide
• SuperQuant: Trading Account and API Key Security

Articles recommandés

• Sécurité des bots de trading crypto : Protéger vos profits et vos données