Réponse courte : créez une clé API Binance en activant uniquement les autorisations dont l’intégration a réellement besoin, en limitant la clé à des adresses IP fiables lorsque le déploiement dispose d’une adresse IP sortante stable, et en gardant tous les secrets ou clés privées hors du code source, du contrôle de version et des messages partagés. Une clé correctement configurée en lecture seule ne peut pas passer d’ordres ni effectuer de retraits, mais elle peut tout de même exposer des données sensibles sur le compte et les transactions. Si une exposition est suspectée, révoquez ou supprimez immédiatement la clé, examinez l’activité du compte, corrigez la cause de l’exposition, puis créez seulement après cela une clé de remplacement.
Dernière vérification : 31 août 2026. Binance peut modifier les autorisations API, les types de clés, les exigences relatives au compte, les libellés de l’interface et la disponibilité régionale. L’écran actif de gestion des API du Binance compte concerné ainsi que la documentation du produit ou du point de terminaison exacts font autorité.
Binance Sécurité des clés API : points essentiels
- Utilisez une clé par usage : séparez un outil de suivi de portefeuille, un outil fiscal, un robot de trading et un service interne au lieu de partager une même clé dotée de pouvoirs étendus.
- Activez uniquement les autorisations minimales : pour un outil en lecture seule, laissez désactivées les autorisations de trading, de transfert et de retrait ; n’ajoutez une autorisation que lorsque l’intégration l’exige réellement.
- Évitez l’autorisation des retraits : la plupart des outils d’analyse et des robots de trading n’en ont pas besoin. La Binance FAQ d’assistance actuellement disponible indique que l’ajout de restrictions d’accès par IP est obligatoire pour activer l’autorisation des retraits. Consultez l’écran de gestion de l’API en temps réel pour le compte et la région concernés.
- Limitez l’accès aux IP fiables : utilisez une liste d’autorisation lorsque les requêtes sortent par des adresses IP publiques stables et connues. Maintenez la liste à jour lorsque l’infrastructure change.
- Gardez les secrets hors du code : n’inscrivez pas en dur un secret HMAC ou des éléments de clé privée, ne les validez pas dans un dépôt, ne les collez pas dans une conversation avec l’assistance et ne les envoyez pas à Bimence.
- Révoquez d’abord en cas d’exposition présumée : n’attendez pas la fin d’une enquête alors qu’une clé potentiellement compromise reste active.
Ce guide porte sur le cycle de vie de sécurité d’une clé API Binance, et non sur la création d’un robot ou la signature d’une requête. Pour les contrôles relatifs au mot de passe, à la clé d’accès, à l’authentification à deux facteurs, à l’anti-hameçonnage et aux appareils, consultez la Binanceliste de contrôle générale de sécurité du compte.
Rôle d’une clé API, d’un secret et d’une clé privée
Un identifiant API aide Binance à identifier l’application appelante et à déterminer quelles actions protégées elle peut demander. L’authentification répond à la question « quel identifiant effectue cette requête ? » L’autorisation répond à la question « que cet identifiant est-il autorisé à faire ? » Une signature valide n’accorde pas une autorisation désactivée dans la gestion des API.
| Identifiant ou contrôle | Objectif | Mesure de sécurité |
|---|---|---|
| Clé API | Identifie l’identifiant API dans les requêtes protégées | À traiter comme une donnée sensible, même lorsqu’elle est associée à un ensemble d’autorisations en lecture seule |
| Clé secrète HMAC | Crée des signatures au moyen d’un secret partagé | Ne jamais la partager, l’inscrire en dur, la valider ni l’enregistrer dans des journaux ; révoquez l’identifiant en cas d’exposition présumée |
| Clé privée RSA ou Ed25519 | Crée des signatures tandis que Binance détient la clé publique correspondante | Protégez le fichier de clé privée et la phrase secrète ; utilisez plutôt un fichier protégé ou un coffre de secrets que l’intégration directe des éléments de clé |
| Autorisations | Limite les groupes de points de terminaison protégés que l’identifiant peut utiliser | Activez uniquement ce dont l’intégration a besoin et réexaminez les autorisations après chaque modification du flux de travail |
| Liste d’adresses IP fiables | Limite l’origine possible des requêtes acceptées | Autorisez uniquement les adresses IP publiques sortantes vérifiées et mettez la liste à jour lorsque l’infrastructure change |
Binance prend actuellement en charge la signature HMAC, RSA et Ed25519 pour les requêtes de l’API Spot. La Binance Academy recommande, dans sa comparaison du 6 juillet 2026, une clé privée Ed25519 protégée par une phrase secrète pour la plupart des cas d’utilisation, tout en précisant que la compatibilité avec les systèmes existants peut varier. Vérifiez que le Binance produit, le point de terminaison et la bibliothèque cliente prévus prennent en charge le type de clé sélectionné avant de modifier une intégration fonctionnelle.
Matrice des autorisations : lesquelles doivent être activées ?
Les noms ci-dessous reflètent les recommandations actuelles de Binance en matière d’autorisations API. Les options exactes affichées peuvent varier selon le produit, le compte, l’état de vérification et la région. N’activez pas une autorisation simplement parce qu’une page de configuration d’intégration demande de cocher toutes les cases.
| Autorisation | Ce qu’elle peut couvrir | Quand elle peut être justifiée | Décision de sécurité par défaut |
|---|---|---|---|
| Activer la lecture | Informations privées du compte, telles que les soldes, l’état des ordres et l’historique des transactions | Un outil de portefeuille, de reporting ou de fiscalité qui lit uniquement les données du compte | Utilisez uniquement la lecture ; n’oubliez pas que les données exposées peuvent rester sensibles |
| Activer le trading Spot et sur marge | Passage et annulation des ordres de trading pris en charge | Une application de trading contrôlée qui soumet réellement des ordres | Laissez cette autorisation désactivée pour les outils d’analyse ; limitez la clé et les symboles pris en charge lorsque cela est possible |
| Activer les prêts sur marge, les remboursements et les transferts | Emprunts, remboursements et transferts sur marge concernés | Un flux de travail sur marge qui exécute explicitement ces actions | Laissez cette autorisation désactivée, sauf si l’intégration l’exige et documente l’intégralité du flux |
| Autoriser le transfert universel | Transferts entre les types de comptes Binance pris en charge | Un flux de travail interne de gestion de trésorerie conçu pour ces transferts | Traitez cette autorisation comme ayant un impact élevé et séparez-la des outils en lecture seule |
| Activer les retraits | Demandes de transfert d’actifs pris en charge vers l’extérieur par les points de terminaison de retrait | Uniquement un flux de travail strictement contrôlé qui ne peut pas fonctionner sans cette autorisation | Laissez cette option désactivée pour les outils de suivi et les robots ordinaires ; la Binance FAQ d’assistance actuelle indique qu’une restriction IP est obligatoire avant de pouvoir activer l’autorisation des retraits. |
La documentation de l’API Spot distingue les points de terminaison publics des groupes protégés tels que USER_DATA et TRADE. Binance La documentation Spot indique que, par défaut, une clé API ne peut pas utiliser TRADE points de terminaison ; les opérations de trading doivent être activées dans la gestion des API. Ce paramètre par défaut constitue un point de départ et ne dispense pas de vérifier chaque autorisation après la création.
Une remise sur les frais de trading ne modifie pas les exigences de sécurité de l’API. Si l’intégration passe des ordres, vérifiez séparément la commission réelle à l’aide du Binance guide de vérification des frais de trading. Si elle peut emprunter ou rembourser, consultez également les passifs actuels et les mesures de protection décrits dans le Binance guide des intérêts sur marge.
Comment les restrictions fondées sur des adresses IP approuvées réduisent les risques
Une liste d’adresses IP autorisées indique à Binance de n’accepter la clé que lorsque la requête semble provenir de l’une des adresses IP publiques approuvées. Cela peut rendre une clé copiée moins utile à un attaquant opérant depuis un autre emplacement. Cela ne prouve pas que le serveur, l’application, la dépendance ou le compte administrateur approuvé est sûr ; cette mesure doit donc être combinée au principe du moindre privilège et à un stockage protégé.
- Identifiez l’adresse IP publique sortante réellement utilisée par l’application, et non l’adresse privée du réseau d’un ordinateur portable.
- Vérifiez si le service utilise une adresse IP de sortie fixe. Les redémarrages dans le cloud, les passerelles NAT, les proxys et les itinéraires de basculement peuvent modifier cette adresse.
- Ajoutez uniquement les adresses IP approuvées nécessaires dans les paramètres de gestion des API Binance associés à cette clé.
- Testez une requête de lecture à faible risque avant d’activer toute autorisation supplémentaire.
- Consignez le responsable de chaque adresse IP autorisée et supprimez les entrées lorsqu’un serveur ou un fournisseur est mis hors service.
- Lorsque l’adresse IP sortante change, mettez à jour la liste d’adresses autorisées via le compte Binance authentifié au lieu d’affaiblir la clé en lui accordant un accès sans restriction.
Les connexions de consommateurs dynamiques et les services sans serveur peuvent compliquer les contrôles fondés sur une adresse IP fixe. Ne considérez pas cela comme une raison d’activer de larges autorisations sans restriction. Envisagez une architecture à sortie fixe, une clé distincte et limitée, un sous-compte approprié ou une intégration prenant en charge les contrôles requis, puis vérifiez les conditions actuelles de Binance.
Où effectuer les vérifications dans votre compte Binance
- Ouvrez le site web ou l’application officiels Binance via un accès fiable, puis connectez-vous.
- Ouvrez la section du compte ou du profil et sélectionnez Gestion des API. Les intitulés des menus peuvent varier selon l’appareil et la région.
- Vérifiez le libellé de la clé, son type et le responsable de l’intégration. Toute clé inexpliquée ou en double doit faire l’objet d’une investigation.
- Examinez chaque autorisation activée et désactivez tout ce dont le flux de travail actuel n’a plus besoin.
- Examinez la restriction fondée sur les adresses IP approuvées et confirmez que chaque adresse répertoriée appartient toujours au déploiement prévu.
- Vérifiez l’activité récente du compte, les ordres, les transferts et les retraits afin de détecter les événements qui ne correspondent pas à l’objectif de l’intégration.
- Après toute modification, vérifiez que l’application prévue fonctionne toujours et qu’aucune autorisation plus large n’a été réactivée.
Ne saisissez jamais une véritable clé API, un secret ou une clé privée dans un outil de diagnostic public, une invite destinée à une IA, un message d’assistance ou un formulaire Bimence. Bimence ne demande pas, ne teste pas et ne conserve pas les identifiants API Binance, et ne peut ni les réparer ni les récupérer.
Stockage sécurisé et séparation opérationnelle
- Ne codez pas les secrets en dur : conservez les éléments d’identification en dehors du code source de l’application.
- Gardez les secrets hors du contrôle de version : utilisez un chemin de configuration protégé, une injection dans l’environnement ou un service de gestion des secrets, et veillez à exclure les fichiers de configuration locaux des validations.
- Protégez les fichiers de clés privées : limitez l’accès au niveau du système d’exploitation et utilisez une phrase secrète lorsque le type de clé et l’intégration sélectionnés le permettent.
- Séparez les environnements : la production et les tests ne doivent pas partager la même clé, les mêmes autorisations ni le même emplacement de stockage.
- Séparez les fournisseurs : attribuez à chaque service tiers sa propre clé limitée afin de pouvoir révoquer une intégration sans interrompre les autres.
- Indiquez le responsable : consignez l’application, le responsable, les autorisations, les adresses IP approuvées et la date de vérification sans copier le secret dans l’inventaire.
- Évitez de consigner les secrets : masquez les en-têtes, les vidages de configuration, les captures d’écran, les rapports de plantage et les dossiers d’assistance.
- Supprimez les clés inutilisées : une intégration inactive ne justifie pas de laisser son identifiant activé.
Les pages éducatives officielles de Binance utilisent différents intervalles recommandés pour la rotation régulière des clés. Comme il s’agit de recommandations et non d’une règle universelle applicable aux comptes, ce guide ne publie pas de calendrier fixe unique. Examinez régulièrement les identifiants, effectuez leur rotation selon les risques et le processus de modification du système, et révoquez-les immédiatement après toute suspicion d’exposition.
Réponse aux incidents en cas de fuite présumée d’une clé API
Le confinement doit précéder l’enquête lorsqu’une clé pourrait être exposée. L’Binance Academy recommande de révoquer immédiatement toute clé compromise. En cas d’activité inhabituelle sur le compte, la documentation destinée aux développeurs de Binance Spot recommande de révoquer immédiatement toutes les clés API et de contacter l’Binance assistance.
- Révoquez ou supprimez immédiatement la clé exposée dans l’écran de gestion des API authentifié.
- Arrêtez l’intégration concernée afin qu’elle ne puisse plus envoyer de requêtes ni écraser des journaux utiles.
- Examinez l’activité, notamment les ordres, les annulations, les transferts internes, les opérations sur marge, les retraits, les événements de connexion et les modifications des paramètres de sécurité pertinents pour les autorisations activées.
- Contactez l’assistance officielle de Binance par l’intermédiaire du site ou de l’application authentifiés si une activité non autorisée ou un risque pour le compte est suspecté.
- Conservez les éléments de preuve sans conserver les identifiants exposés : consignez les horodatages, les identifiants de requête, les identifiants de transaction, les événements des référentiels, les journaux des serveurs et les captures d’écran en masquant les identifiants.
- Corrigez la cause de l’exposition, par exemple un référentiel public, un fichier de configuration divulgué, une extension malveillante, un serveur compromis, un site d’hameçonnage ou un fournisseur disposant de privilèges excessifs.
- Ne créez un remplacement qu’après avoir remédié au problème, avec un nouveau secret ou une nouvelle paire de clés, un emplacement de stockage distinct, le minimum d’autorisations et des restrictions fondées sur des adresses IP approuvées.
- Examinez les identifiants voisins si la même machine, le même référentiel, le même mot de passe ou le même magasin de secrets contenait d’autres clés.
Modifier le mot de passe Binance peut être approprié lorsqu’une compromission plus large du compte est possible, mais cela ne doit pas remplacer la révocation de l’identifiant API lui-même. Consultez le Binance guide des dépôts et retraits avant d’évaluer les mouvements d’actifs, les réseaux et les détails des destinations.
Erreurs courantes de sécurité des Binance API
- Considérer l’accès en lecture seule comme inoffensif : les soldes et l’historique des transactions sont des informations privées précieuses, même lorsqu’aucun ordre ne peut être passé.
- Accorder à un robot de trading un accès aux retraits : l’exécution des ordres ne nécessite normalement pas l’autorisation de retirer des actifs.
- Réutiliser une seule clé partout : des identifiants partagés compliquent l’attribution, le confinement et la révocation.
- Autoriser toutes les adresses IP parce qu’un service change d’adresse : repensez la connexion ou utilisez plutôt un identifiant plus limité, au lieu de supprimer silencieusement un contrôle majeur.
- Placer un secret dans un dépôt et supprimer uniquement le commit : partez du principe que l’identifiant a peut-être déjà été copié et révoquez-le.
- Créer un remplacement avant de corriger le stockage : la nouvelle clé peut fuir par le même chemin.
- Faire confiance au libellé d’un fournisseur sans vérifier les autorisations : comparez l’accès demandé avec les fonctions réelles de l’intégration.
- Supposer que BIMENCE modifie les autorisations de l’API : un code de parrainage n’autorise pas, ne protège pas et ne permet pas de récupérer un identifiant d’API.
Foire aux questions
Une Binance clé API en lecture seule est-elle sûre ?
Elle est plus sûre qu’une clé dotée d’autorisations de trading, de transfert ou de retrait, mais elle n’est pas inoffensive. Une clé en lecture seule peut exposer des informations privées du compte, telles que les soldes, l’état des ordres et l’historique des transactions. Protégez-la, limitez-la aux adresses IP de confiance lorsque cela est possible et révoquez-la lorsqu’elle n’est plus nécessaire.
Un Binance robot de trading a-t-il besoin de l’autorisation de retrait ?
Le placement d’ordres ordinaires ne nécessite pas l’autorisation de retrait. Les recommandations actuelles de l’Academy de Binance distinguent spécifiquement l’autorisation de trading des retraits. Vérifiez les fonctions documentées du robot et laissez les retraits désactivés, sauf si le processus ne peut réellement pas fonctionner sans eux.
La restriction des adresses IP est-elle requise pour une clé API Binance ?
Binance recommande vivement les restrictions aux adresses IP de confiance. La FAQ d’assistance actuellement disponible de Binance indique que l’ajout de restrictions d’accès IP est obligatoire avant de pouvoir activer l’autorisation de retrait, mais la page peut rediriger selon la région et précise que ses informations peuvent être obsolètes. Consultez l’écran de gestion des API en ligne correspondant au compte et à la région. Une liste d’adresses IP autorisées réduit les risques, mais ne garantit pas la sécurité.
À quelle fréquence faut-il renouveler une clé API Binance ?
Ce guide ne propose pas d’intervalle unique, car les exemples pédagogiques officiels et les exigences organisationnelles diffèrent. Examinez régulièrement les clés, renouvelez-les selon un processus contrôlé adapté au système et révoquez-les immédiatement si une exposition est suspectée ou si une intégration est retirée.
Que faire si l’application utilise des adresses IP changeantes ?
Ne passez pas automatiquement à une clé large sans restriction. Envisagez une infrastructure IP sortante stable, un identifiant distinct aux droits limités, un sous-compte approprié ou une autre architecture prise en charge par l’intégration. Confirmez les conditions actuelles du produit et du compte auprès de Binance.
Bimence peut-il vérifier ou récupérer ma clé API Binance ?
Non. Bimence ne demande ni clé API, ni clé secrète, ni clé privée, ni phrase secrète, ni mot de passe, ni OTP, ni éléments de récupération. Ne les envoyez pas à Bimence. Révoquez les identifiants exposés dans Binance et utilisez l’assistance authentifiée de Binance pour les incidents liés au compte.
Sources officielles consultées le 31 août 2026
- Binance Documentation destinée aux développeurs : Informations générales sur l’API REST — types de clés pris en charge, sécurité des points de terminaison protégés, séparation des autorisations, restriction par défaut du trading et recommandations concernant la révocation immédiate.
- Binance Assistance : Comment créer des clés API sur Binance ? — chemin d’accès à la gestion des API, HMAC généré par le système contre Ed25519/RSA générées par l’utilisateur, limites relatives aux adresses IP sans restriction et exigence indiquée de restriction IP pour l’autorisation de retrait ; la page peut rediriger selon la région et précise que ses informations peuvent être obsolètes.
- Binance Academy : Que sont les clés API et les types de sécurité ? — mise à jour le 6 juillet 2026 ; types de clés, stockage protégé, restrictions aux adresses IP de confiance, options d’autorisation et remédiation en cas d’incident.
- Binance Academy : Qu’est-ce qu’une clé API et comment l’utiliser en toute sécurité ? — mise à jour le 26 mai 2026 ; principe du moindre privilège, séparation des clés par service, exemples de renouvellement, exposition des données en lecture seule et réponse aux incidents.
Divulgation d’affiliation : Bimence peut recevoir une commission pour les actions admissibles effectuées via le lien BIMENCE. Cela ne fait pas de Bimence un représentant de Binance, et le code de parrainage n’accorde aucune autorisation API ni ne prouve qu’une intégration est sûre. Avertissement relatif aux risques : le trading, les transferts, le trading sur marge et les retraits via l’API peuvent entraîner des risques financiers et de sécurité, et les transactions en cryptomonnaies peuvent être irréversibles. La disponibilité des produits varie selon la région. Cet article fournit des informations générales et ne constitue pas un conseil en cybersécurité, en investissement, financier, juridique ou fiscal.