Mentions légales obligatoires: Monnaie virtuelle, risques réels. En crypto seul le risque est garanti. Plus
Mentions légales obligatoires: Monnaie virtuelle, risques réels. En crypto seul le risque est garanti. Plus
Mentions ligales obligatoires: Monnaie virtuelle, risques riels. En crypto seul le risque est garanti. Avertissement: la valeur de vos monnaies virtuelles peut varier de manière très importante à la hausse comme à la baisse et le montant que vous investissez peut être entièrement perdu; les monnaies virtuelles ne sont pas couvertes par les systèmes de garantie des dépôts bancaires; aucun mécanisme légal permettant d’éviter les manipulations de marché ou les délits d’initiés n’a été mis en place sur le marché des monnaies virtuelles; les monnaies virtuelles sont entièrement dépendantes d’une technologie et d’une infrastructure informatique spécifique, qui peut dans certains cas avoir été développée très récemment et être encore insuffisamment testée; en cas de perte de l’identifiant ou du mot de passe permettant d’accéder au portefeuille virtuel où sont stockées les monnaies virtuelles, ces dernières seront définitivement perdues; l’acceptation des monnaies virtuelles comme moyen de paiement est actuellement limitée et il n’existe dans la très grande majorité des pays aucune d’obligation légale de les accepter; pour plus d’informations concernant les risques liés à un investissement en monnaies virtuelles, nous vous recommandons de lire la page Wikifin Qu’est-ce qu’une cryptomonnaie ? | Wikifin.
Mentions ligales obligatoires: Monnaie virtuelle, risques riels. En crypto seul le risque est garanti. Avertissement: la valeur de vos monnaies virtuelles peut varier de manière très importante à la hausse comme à la baisse et le montant que vous investissez peut être entièrement perdu; les monnaies virtuelles ne sont pas couvertes par les systèmes de garantie des dépôts bancaires; aucun mécanisme légal permettant d’éviter les manipulations de marché ou les délits d’initiés n’a été mis en place sur le marché des monnaies virtuelles; les monnaies virtuelles sont entièrement dépendantes d’une technologie et d’une infrastructure informatique spécifique, qui peut dans certains cas avoir été développée très récemment et être encore insuffisamment testée; en cas de perte de l’identifiant ou du mot de passe permettant d’accéder au portefeuille virtuel où sont stockées les monnaies virtuelles, ces dernières seront définitivement perdues; l’acceptation des monnaies virtuelles comme moyen de paiement est actuellement limitée et il n’existe dans la très grande majorité des pays aucune d’obligation légale de les accepter; pour plus d’informations concernant les risques liés à un investissement en monnaies virtuelles, nous vous recommandons de lire la page Wikifin Qu’est-ce qu’une cryptomonnaie ? | Wikifin.
L'autorisation Add Withdrawal Addresses permet à une clé API d'ajouter et de supprimer des adresses de retrait sur votre compte Kraken. Cet article explique ce que fait cette autorisation, les risques de sécurité qu'elle implique et les mesures que vous pouvez prendre pour protéger votre compte.
Lorsque vous activez l'autorisation Add Withdrawal Addresses sur une clé API, toute application ou tout service utilisant cette clé peut :
Cela signifie que le détenteur de la clé API peut modifier les destinations éligibles pour vos fonds, sans se connecter à kraken.com ni utiliser l'application Kraken.
L'activation de cette autorisation augmente considérablement l'impact potentiel en cas de compromission de votre clé API. Avant de l'activer, examinez attentivement les risques suivants.
Si un attaquant obtient votre clé API (par le biais d'une violation de données, de phishing, d'un logiciel malveillant ou de tout autre moyen), il pourrait ajouter sa propre adresse de retrait à votre compte. Combinée à l'autorisation Withdraw Funds, elle permettrait à un attaquant d'effectuer un retrait de vos actifs vers une adresse qu'il contrôle.
De nombreux utilisateurs connectent des clés API à des services tiers tels que des outils de suivi de portefeuille, des bots de trading et des outils de déclaration fiscale. Si vous accordez l'autorisation Add Withdrawal Addresses à une clé utilisée par un service tiers :
Recommandation : N'accordez jamais l'autorisation Add Withdrawal Addresses à une clé API que vous partagez avec un service tiers. N'activez cette autorisation que sur les clés utilisées dans des applications que vous contrôlez entièrement.
L'autorisation Add Withdrawal Addresses devient particulièrement dangereuse lorsqu'elle est associée à l'autorisation Withdraw Funds sur la même clé API. Un attaquant ayant accès à une clé disposant des deux autorisations pourrait ajouter sa propre adresse de retrait et initier immédiatement un retrait, le tout via l'API, sans aucune vérification supplémentaire au-delà de la clé elle-même.
Recommandation : Évitez d'activer simultanément Add Withdrawal Addresses et Withdraw Funds sur la même clé API, sauf nécessité absolue. Utilisez des clés distinctes en accordant à chaque application le minimum d'autorisations nécessaires.
Si vous devez utiliser l'autorisation Add Withdrawal Addresses, suivez les étapes ci-dessous pour réduire votre exposition au risque.
Restreignez votre clé API afin qu'elle ne puisse être utilisée qu'à partir d'adresses IP spécifiques. Ainsi, même en cas de vol, la clé ne pourra pas être utilisée depuis un réseau non autorisé.
Configurez votre clé API pour qu'elle expire automatiquement après une période définie. Cela réduit le délai dont dispose un attaquant pour exploiter une clé compromise.
N'activez que les autorisations dont votre application a réellement besoin. Si une application se limite à la lecture des données du compte ou au passage de transactions, ne lui accordez pas d'autorisations de retrait ou de gestion des adresses.
Utilisez une clé API dédiée pour chaque application ou cas d'usage. Ainsi, si une clé est compromise, seul un ensemble limité d'autorisations est exposé.
Vérifiez régulièrement les adresses de retrait associées à votre compte et consultez les journaux d'utilisation de vos clés API. Si vous constatez des adresses ou une activité que vous ne reconnaissez pas, révoquez immédiatement la clé API et contactez le Support Kraken.
Ajoutez un second niveau de protection en activant la 2FA directement sur votre clé API. Une fois activée, chaque appel API effectué avec la clé doit inclure un code 2FA valide : une clé volée seule ne suffit pas à un attaquant pour modifier votre compte.
En savoir plus : Comment fonctionne l'authentification à deux facteurs (2FA) pour les clés API ?
Action | Pourquoi c’est important |
|---|---|
N'activer que sur les clés que vous contrôlez entièrement | Évite l'exposition à des tiers |
Ne jamais associer à Retrait de fonds sur la même clé (sauf nécessité) | Limite l'impact en cas de compromission de clé |
Activer la liste blanche d'adresses IP | Bloque l'utilisation depuis des réseaux non autorisés |
Définir une expiration de clé | Réduit la durée d'exploitation d'une clé volée |
Utiliser une clé par application | Limite le périmètre d'impact en cas de compromission |
Vérifier régulièrement les adresses et l'activité | Détecte rapidement toute modification non autorisée |