Tout service de trading automatisé demande la même chose : une clé API de votre compte d'exchange. La question est légitime : que remettez-vous exactement ? Réponse courte : une clé correctement créée laisse un bot trader mais pas voler, et trois réglages décident lequel des deux vous obtenez.
Qu'est-ce qu'une clé API
Une clé API est une paire de chaînes (clé et secret ; OKX ajoute une passphrase) qui identifie votre compte auprès de l'interface de programmation de l'exchange. Chaque clé porte son propre jeu d'autorisations, choisi à la création. La clé ne révèle pas votre mot de passe, ne donne pas accès à l'interface web et se révoque à tout moment sans toucher au compte.
Les trois réglages qui comptent
1. Pas de droit de retrait. Un bot de trading doit lire les soldes et placer des ordres. Il n'a jamais besoin de retirer. Laissez Retrait (et sur Binance Autoriser les transferts internes) désactivé. Une clé sans ce droit ne peut pas sortir un seul USDT du compte, qui que ce soit qui la détienne.
2. Liste blanche d'IP. Les exchanges permettent de limiter une clé à une liste d'adresses IP. Avec cette restriction, une requête signée avec votre clé depuis tout autre ordinateur est rejetée. En cas de fuite, le voleur devrait aussi contrôler les serveurs du service. EDVI publie ses adresses sur chaque page d'exchange ; collez-les toutes.
3. Seulement les autorisations nommées par le service. Le trading de futures requiert Futures (Binance), Trading unifié (Bybit), Trade (OKX) ou Futures perpétuels (BingX). Prêt sur marge, spot, gestion des sous-comptes : désactivés, sauf si le service explique pourquoi il en a besoin.
Ce qu'un bot peut quand même faire avec une clé correcte
L'honnêteté oblige à le dire : une clé avec droits de trading peut ouvrir des positions, y compris mauvaises, et les fermer à perte. Le risque que vous prenez avec un bot est le risque de trading de sa stratégie, pas un risque de vol. C'est pourquoi les règles de la stratégie, ses statistiques publiques et votre multiplicateur de risque comptent plus que la clé elle-même. Lisez qu'est-ce que le drawdown et comment le lire avant de régler le multiplicateur.
Sous-comptes : un mur de plus
Les quatre exchanges pris en charge par EDVI proposent des sous-comptes. Un sous-compte a son propre solde, ses propres clés API et ne peut pas toucher au compte principal. N'y transférez que le dépôt de trading et créez la clé dans le sous-compte : le bot ne voit alors physiquement pas le reste de vos fonds.
En cas de fuite de clé
- Supprimez la clé sur l'exchange. Les ordres signés avec elle cessent immédiatement d'être acceptés.
- Vérifiez positions et ordres ouverts ; fermez ce que vous n'attendiez pas.
- Créez une nouvelle clé avec les mêmes restrictions et reconnectez-la. Dans EDVI : Réglages de la stratégie → Clé API.
Avec la liste blanche d'IP, l'étape 1 est une précaution plus qu'un sauvetage : personne hors des serveurs autorisés n'a pu utiliser la clé.
Check-list
- 2FA activée sur l'exchange
- Clé créée pour le trading seulement, retrait désactivé
- Liste blanche d'IP avec toutes les adresses du service
- Dépôt sur un sous-compte si l'exchange le permet
- Secret enregistré une fois, dans un gestionnaire de mots de passe, jamais dans un chat
Avec ces cinq points, donner une clé API à un bot n'est pas plus dangereux que la stratégie que vous lui demandez d'exécuter.
