Pour connecter un bot de trading ou un outil tiers a Binance, vous devez creer une cle API. Mais si les permissions sont mal configurees, soit les fonctionnalites ne marchent pas, soit vos actifs sont en danger. Comment choisir entre les trois niveaux de permissions ?
L'utilisation de l'API necessite au prealable une inscription sur Binance et une verification d'identite. La gestion des cles API est accessible depuis l'application Binance ou le site web.
Les trois types de permissions API
Lors de la creation d'une cle API, vous devez choisir les permissions a activer :
Permission de lecture (Read) :
- Consulter le solde du compte
- Voir l'historique des transactions
- Obtenir les donnees de marche
- Consulter les positions ouvertes
- Aucune operation de modification possible
Permission de trading (Trade/Enable Trading) :
- Inclut toutes les fonctionnalites de lecture
- Passer des ordres d'achat/vente (spot, futures, etc.)
- Annuler des ordres
- Pas de retrait possible
Permission de retrait (Enable Withdrawals) :
- Inclut toutes les fonctionnalites precedentes
- Possibilite de lancer des retraits de cryptomonnaies
- Risque le plus eleve
Classement par niveau de securite
Lecture < Trading < Retrait
Plus le niveau de permissions est eleve, plus le risque et les consequences en cas de compromission sont graves. Le principe est de n'activer que le minimum necessaire.
Quelles permissions pour quel usage ?
Consultation de donnees et analyse uniquement : activez uniquement la lecture. Pour la recherche de donnees ou la creation de tableaux de bord.
Bot de trading algorithmique : activez lecture + trading. Le bot a besoin de consulter les cours et de passer des ordres automatiquement. La grande majorite des outils n'a besoin que de ces deux permissions.
Retrait automatise (tres rare) : necessite la permission de retrait. Generalement deconseille, sauf besoin metier tres specifique avec des mesures de securite solides.
Etapes de creation d'une cle API
Sur le site web :
- Connectez-vous au site officiel Binance
- Allez dans Parametres du compte → Gestion API
- Saisissez un nom pour la cle API (pour identifier l'usage)
- Completez la verification de securite (2FA)
- Le systeme genere l'API Key et la Secret Key
- Sauvegardez immediatement la Secret Key, elle ne s'affiche qu'une seule fois
- Configurez les permissions necessaires
- Configurez la liste blanche IP (fortement recommande)
Avertissement important concernant la Secret Key
Lors de la creation, deux valeurs sont generees :
- API Key : equivalent du nom d'utilisateur, consultable a tout moment
- Secret Key : equivalent du mot de passe, affichee une seule fois a la creation
Si vous n'avez pas sauvegarde la Secret Key, la seule option est de supprimer cette cle et d'en creer une nouvelle. Copiez-la immediatement apres creation et conservez-la en lieu sur.
La liste blanche IP est-elle obligatoire ?
Fortement recommandee. La liste blanche IP limite l'utilisation de la cle API aux seules adresses IP specifiees. Meme en cas de fuite de la cle, l'attaquant ne peut pas l'utiliser sans l'IP correspondante.
Comment la configurer : dans la page de gestion API, trouvez votre cle et ajoutez les adresses IP autorisees.
Serveur a IP fixe : si votre bot tourne sur un serveur cloud, ajoutez l'IP du serveur a la liste blanche.
IP dynamique : si votre IP n'est pas fixe, vous pouvez ne pas configurer de liste blanche, mais renforcez les autres mesures de securite et ne jamais activer les droits de retrait.
Bonnes pratiques de securite API
- Principe du moindre privilege : n'activez que les permissions necessaires, pas de retrait si non indispensable
- Configurer la liste blanche IP : a faire des que possible pour reduire considerablement les risques
- Rotation reguliere : supprimez periodiquement les anciennes cles et recreez-en de nouvelles
- Ne jamais partager : ne communiquez jamais votre API Key et Secret Key
- Verifier les plateformes tierces : avant d'utiliser une plateforme de trading algorithmique, verifiez sa securite et sa reputation
- Activer le 2FA : activez Google Authenticator ou toute autre verification a deux facteurs
- Surveiller l'activite API : verifiez regulierement l'historique des transactions via API et supprimez immediatement en cas d'anomalie
Restrictions supplementaires pour les retraits
Meme avec les droits de retrait actives, Binance applique des mesures de securite supplementaires :
- Liste blanche d'adresses de retrait : retraits uniquement vers des adresses preconfigurees
- Delai de 24 heures : attente obligatoire apres ajout d'une nouvelle adresse
- Plafonds de retrait : des limites supplementaires peuvent s'appliquer aux retraits via API
Combien de cles API par compte ?
Binance permet de creer plusieurs cles API par compte. Vous pouvez creer des cles differentes pour differents usages avec des permissions distinctes. Par exemple : une cle en lecture seule pour l'analyse de donnees, et une avec droits de trading pour le bot.
Que faire si votre cle API est compromise ?
- Connectez-vous immediatement a Binance et supprimez toutes les cles API
- Changez votre mot de passe
- Verifiez s'il y a des transactions ou retraits anormaux
- En cas de perte d'actifs, contactez immediatement le service client Binance
- Identifiez la cause de la fuite pour eviter que cela ne se reproduise
L'API est le pont entre Binance et les outils externes. Sa configuration securisee est directement liee a la securite de vos actifs. Mieux vaut prendre quelques minutes supplementaires pour bien configurer les options de securite que de negliger les risques par commodite.