Clé API en lecture seule : la créer sur Binance, Kraken et OKX, et vérifier qu’elle ne peut rien faire

Créer une clé API sur Binance, Kraken ou OKX prend deux minutes. La vraie question est ailleurs : ma clé est-elle vraiment en lecture seule ? J’ai créé des clés de lecture sur mes trois comptes, et deux ont été refusées la première fois, pour des raisons peu évidentes.

Qu’est-ce qu’une clé API ?

Une clé API est un accès à votre compte réservé aux logiciels. Elle a deux parties : la clé, qui dit qui vous êtes, et le secret, qui le prouve. À la différence d’un mot de passe, elle ne porte que les droits que vous lui donnez.

Volée, une clé en lecture seule dévoilerait votre historique et vos soldes, sans permettre de vendre ni de retirer.

Trois règles avant de créer une clé

• Une clé par outil. Vous la supprimerez sans casser le reste, et Kraken refuse qu’une clé serve à deux logiciels à la fois.
• Seulement la lecture. Un outil de suivi qui demande le trading ou le retrait n’est pas un outil de suivi.
• Copiez le secret tout de suite. Il ne s’affiche en général qu’une fois.

Créer une clé API en lecture seule sur Binance

Activez d’abord la double authentification et faites vérifier votre identité.

1. Sur le site, icône de profil, puis Compte › Gestion des API › Créer une API.
2. Choisissez une clé générée par le système, le type que demandent la plupart des outils de suivi.
3. Nommez-la, puis validez avec vos codes de sécurité.
4. Copiez la clé et le secret.
5. Dans Modifier les restrictions, seule « Permettre la lecture » doit être cochée.

Sur l’application mobile : Plus › Services › Autre › Gestion des API.

Selon la documentation de Binance, une clé générée par le système et sans restriction d’adresse IP ne peut porter que la lecture. Le retrait exige une restriction d’IP : sans elle, sa case ne peut même pas être cochée.

Sur Kraken : un seul droit, « Consulter le registre »

Créez la clé sur kraken.com, dans un navigateur : l’application mobile ne le permet pas.

1. Icône de profil, Paramètres, rubrique API, puis Créer une clé API.
2. Nommez la clé.
3. Dans la colonne Données, cochez « Consulter le registre » (« Query ledger entries » si votre compte Kraken est en anglais). Rien d’autre.
4. N’ajoutez pas de double authentification à la clé : un outil automatique ne peut pas saisir de code.
5. Copiez la clé et la clé privée en entier, signe « = » final compris.

Ce droit suffit : le registre contient tout, staking compris, depuis l’ouverture du compte. La page d’aide de Kraken détaille chaque case.

C’est là que j’ai été refusé la première fois : ma clé avait d’autres droits de consultation, pas celui-là, et Kraken répondait « Permission denied ».

Sur OKX : la phrase secrète et le piège des trois entités

1. Sur le site, Profil › API, puis Créer une clé API. Sur l’application : Menu › API › Créer une clé API.
2. Nommez la clé et cochez la seule autorisation « Lire ».
3. Choisissez une phrase secrète, un mot de passe distinct du secret d’API. OKX ne la réaffiche jamais : perdue, la clé est à refaire.
4. Copiez la clé et le secret.

« API key doesn’t exist » : une clé créée chez OKX Europe

OKX compte trois entités, chacune à son adresse : mondiale, européenne (EEA) et américaine. Une clé n’existe que dans l’entité où votre compte a été ouvert. Interrogée ailleurs, elle répond « API key doesn’t exist » (erreur 50119), comme le dit la FAQ API d’OKX.

C’est ce qui m’est arrivé : mon compte est chez OKX Europe, et l’adresse mondiale refusait ma clé, pourtant valide. Recréer la clé ne sert à rien. Vérifiez plutôt que l’outil interroge la bonne entité, ce que Crypto Master fait de lui-même. Si aucune entité ne connaît la clé, elle a été supprimée, ou créée en mode « Demo trading ».

Vérifier qu’une clé ne peut ni trader ni retirer

Vérifiez la clé une fois, avant de la coller ailleurs.

• Dans la liste de vos clés, elle n’affiche que des droits de lecture : rien sur le retrait, le transfert, le trading ou les ordres.
• Vous avez reçu le courriel de l’exchange annonçant sa création. Une clé que vous n’avez pas créée se supprime sur-le-champ.
• Son nom dit à quel outil elle sert.

Inutile de la « tester » par un retrait depuis un autre logiciel : vous la confieriez à un outil de plus. Un droit de trop ? Supprimez la clé et créez-en une autre, plutôt que de le décocher.

Faut-il restreindre la clé à une adresse IP ?

Les trois exchanges permettent de limiter une clé à l’adresse IP du serveur de l’outil. C’est une protection de plus si la clé fuit, pas une nécessité en lecture seule.

Crypto Master interroge toujours depuis la même adresse, que l’écran où vous collez la clé vous donne. Une clé restreinte à une autre adresse est refusée (« Invalid IP » chez OKX).

Les messages d’erreur les plus courants

Ce que Crypto Master fait de votre clé

Crypto Master se relie à Binance, Kraken, OKX, Coinbase, Bybit, Gate, MEXC, KuCoin, Robinhood et Crypto.com Exchange par une clé en lecture seule. Vous préférez vous passer de clé ? Chez Kraken et Binance, l’export de l’historique suffit, dans le même compte : le registre (« Ledgers ») de Kraken, les fichiers de Binance tels qu’ils sont téléchargés, ZIP compris.

• Elle sert à lire votre historique. Le logiciel ne contient aucun appel qui passe un ordre ou retire, et un test automatique le vérifie.
• Elle est chiffrée (AES-256), avec une clé de chiffrement gardée hors de la base. Le serveur la déchiffre pour interroger l’exchange, d’où l’importance de la lecture seule.
• Elle n’est jamais réaffichée, sauf ses quatre derniers caractères.
• Elle se retire en un clic, dans Crypto Master ou chez l’exchange. Ce qui est déjà importé reste.

L’API d’OKX ne rend que 90 jours d’achats et de ventes. L’historique plus ancien s’importe par ses fichiers d’export, dans le même compte. Tout est détaillé sur la page Sécurité. L’offre gratuite couvre 3 comptes connectés et 500 transactions (tarifs).

Questions fréquentes

Partager : LinkedIn X Facebook