Mentions légales obligatoires: Monnaie virtuelle, risques réels. En crypto seul le risque est garanti. Plus
Mentions légales obligatoires: Monnaie virtuelle, risques réels. En crypto seul le risque est garanti. Plus
Mentions ligales obligatoires: Monnaie virtuelle, risques riels. En crypto seul le risque est garanti. Avertissement: la valeur de vos monnaies virtuelles peut varier de manière très importante à la hausse comme à la baisse et le montant que vous investissez peut être entièrement perdu; les monnaies virtuelles ne sont pas couvertes par les systèmes de garantie des dépôts bancaires; aucun mécanisme légal permettant d’éviter les manipulations de marché ou les délits d’initiés n’a été mis en place sur le marché des monnaies virtuelles; les monnaies virtuelles sont entièrement dépendantes d’une technologie et d’une infrastructure informatique spécifique, qui peut dans certains cas avoir été développée très récemment et être encore insuffisamment testée; en cas de perte de l’identifiant ou du mot de passe permettant d’accéder au portefeuille virtuel où sont stockées les monnaies virtuelles, ces dernières seront définitivement perdues; l’acceptation des monnaies virtuelles comme moyen de paiement est actuellement limitée et il n’existe dans la très grande majorité des pays aucune d’obligation légale de les accepter; pour plus d’informations concernant les risques liés à un investissement en monnaies virtuelles, nous vous recommandons de lire la page Wikifin Qu’est-ce qu’une cryptomonnaie ? | Wikifin.
Mentions ligales obligatoires: Monnaie virtuelle, risques riels. En crypto seul le risque est garanti. Avertissement: la valeur de vos monnaies virtuelles peut varier de manière très importante à la hausse comme à la baisse et le montant que vous investissez peut être entièrement perdu; les monnaies virtuelles ne sont pas couvertes par les systèmes de garantie des dépôts bancaires; aucun mécanisme légal permettant d’éviter les manipulations de marché ou les délits d’initiés n’a été mis en place sur le marché des monnaies virtuelles; les monnaies virtuelles sont entièrement dépendantes d’une technologie et d’une infrastructure informatique spécifique, qui peut dans certains cas avoir été développée très récemment et être encore insuffisamment testée; en cas de perte de l’identifiant ou du mot de passe permettant d’accéder au portefeuille virtuel où sont stockées les monnaies virtuelles, ces dernières seront définitivement perdues; l’acceptation des monnaies virtuelles comme moyen de paiement est actuellement limitée et il n’existe dans la très grande majorité des pays aucune d’obligation légale de les accepter; pour plus d’informations concernant les risques liés à un investissement en monnaies virtuelles, nous vous recommandons de lire la page Wikifin Qu’est-ce qu’une cryptomonnaie ? | Wikifin.
La permission Add Withdrawal Addresses permet à une clé API d'ajouter et de supprimer des adresses de retrait sur votre compte Kraken. Cet article explique le fonctionnement de cette permission, les risques de sécurité qu'elle implique et les mesures à prendre pour protéger votre compte.
Lorsque vous activez la permission Add Withdrawal Addresses sur une clé API, toute application ou tout service utilisant cette clé peut :
Le détenteur de la clé API peut ainsi modifier les destinations autorisées pour vos fonds, sans se connecter à kraken.com ni utiliser l'application Kraken.
L'activation de cette permission augmente considérablement l'impact potentiel en cas de compromission de votre clé API. Avant de l'activer, examinez attentivement les risques suivants.
Si un attaquant obtient votre clé API (par le biais d'une violation de données, de phishing, d'un logiciel malveillant ou de tout autre moyen), il pourrait ajouter sa propre adresse de retrait à votre compte. Combinée à la permission Withdraw Funds, cela permettrait à un attaquant d'effectuer un retrait de vos actifs vers une adresse qu'il contrôle.
De nombreux utilisateurs associent des clés API à des services tiers tels que des outils de suivi de portefeuille, des bots de trading ou des logiciels de déclaration fiscale. Si vous accordez la permission Add Withdrawal Addresses à une clé utilisée par un service tiers :
Recommandation : N'accordez jamais la permission Add Withdrawal Addresses à une clé API que vous partagez avec un service tiers. N'activez cette permission que sur les clés utilisées dans des applications que vous contrôlez entièrement.
La permission Add Withdrawal Addresses devient particulièrement dangereuse lorsqu'elle est associée à la permission Withdraw Funds sur la même clé API. Un attaquant ayant accès à une clé disposant des deux permissions pourrait ajouter sa propre adresse de retrait et initier immédiatement un retrait, entièrement via l'API, sans aucune vérification supplémentaire au-delà de la clé elle-même.
Recommandation : Évitez d'activer simultanément Add Withdrawal Addresses et Withdraw Funds sur la même clé API, sauf nécessité absolue. Utilisez des clés distinctes en accordant à chaque application le minimum de permissions nécessaires.
Si vous devez utiliser la permission Add Withdrawal Addresses, suivez les étapes ci-dessous pour réduire votre exposition au risque.
Restreignez votre clé API afin qu'elle ne puisse être utilisée qu'à partir d'adresses IP spécifiques. Ainsi, même en cas de vol, votre clé ne pourra pas être utilisée depuis un réseau non autorisé.
Configurez votre clé API pour qu'elle expire automatiquement après une période définie. Cela réduit la fenêtre d'opportunité dont dispose un attaquant pour utiliser une clé compromise.
N'activez que les permissions nécessaires à votre application. Si une application n'a besoin que de consulter des données de compte ou de passer des ordres, ne lui accordez pas de permissions de retrait ou de gestion d'adresses.
Utilisez une clé API dédiée pour chaque application ou cas d'usage. Ainsi, si une clé est compromise, seul un ensemble limité de permissions est exposé.
Vérifiez régulièrement les adresses de retrait enregistrées sur votre compte et consultez les journaux d'utilisation de vos clés API. Si vous constatez des adresses ou une activité que vous ne reconnaissez pas, révoquez immédiatement la clé API et contactez le support Kraken.
Ajoutez une deuxième couche de protection en activant la 2FA directement sur votre clé API. Une fois activée, chaque appel API effectué avec cette clé doit inclure un code 2FA valide – ce qui signifie qu'une clé volée seule ne suffit pas à permettre à un attaquant de modifier votre compte.
En savoir plus : Comment fonctionne l'authentification à deux facteurs (2FA) pour les clés API ?
Action | Pourquoi c’est important |
|---|---|
N'activer que sur les clés que vous contrôlez entièrement | Évite l'exposition aux services tiers |
Ne jamais associer à Retrait de fonds sur la même clé (sauf nécessité absolue) | Limite les dégâts en cas de compromission d'une clé |
Activer la liste blanche d'adresses IP | Bloque l'utilisation depuis des réseaux non autorisés |
Définir une expiration de clé | Réduit la durée de vie utile d'une clé volée |
Utiliser une clé par application | Limite l'impact d'une compromission à un périmètre restreint |
Vérifier régulièrement les adresses et l'activité | Détecte rapidement toute modification non autorisée |