Connecter son courtier ou sa plateforme à une appli, risqué ?

Connecter un courtier ou une plateforme crypto à une appli peut se faire sans danger si la connexion est en lecture seule et que vous ne confiez ni votre mot de passe ni une clé capable de trader ou de retirer. Vérifiez trois choses : vous vous identifiez sur les écrans de votre établissement (OAuth ou un service comme Plaid) et non dans un formulaire de l’appli, les clés API de plateforme sont limitées à la consultation, et vous pouvez révoquer l’accès à tout moment. Si une appli demande plus que ce qu’il faut pour afficher votre portefeuille, ne la connectez pas.

Aucune connexion n’est sans risque : mieux vaut comprendre comment fonctionne chaque type et quoi vérifier.

Les trois façons dont une appli se connecte à vos comptes

1. Le partage d’identifiants

Les anciens agrégateurs demandaient votre identifiant et votre mot de passe, puis se connectaient à votre place (le « screen scraping »). Cela fonctionne, mais l’appli détient alors des identifiants qui permettent tout ce que vous pouvez faire sur ce compte. L’autorité américaine FINRA détaille ces risques dans son alerte Know Before You Share.

En Europe, la directive DSP2 a encadré l’accès aux comptes de paiement par des prestataires agréés, qui passent par des interfaces dédiées plutôt que par vos mots de passe. Les comptes-titres, PEA et plateformes crypto n’entrent pas forcément dans ce cadre : d’où l’intérêt de vérifier, appli par appli, comment la connexion est faite.

2. Les connexions par jeton (OAuth et Plaid)

Avec OAuth, vous êtes redirigé vers la page de connexion de votre établissement. Vous vous y identifiez, vous approuvez ce que l’appli peut voir, et l’établissement remet à l’appli un jeton limité à cet accès. L’appli ne voit jamais votre mot de passe, et vous pouvez en général révoquer le jeton depuis les paramètres de sécurité de votre compte.

Des services comme Plaid servent d’intermédiaire pour de nombreuses applis : vous choisissez votre établissement, vous vous identifiez sur les écrans de Plaid ou de l’établissement, et l’appli reçoit l’accès aux types de données demandés. Plaid présente sa démarche dans la façon dont il traite vos données et sur sa page sécurité.

3. Les clés API (plateformes crypto)

Les plateformes crypto permettent de créer des clés API avec des permissions précises. Vous créez la clé sur la plateforme, vous choisissez ses droits, puis vous la collez dans l’appli.

Ici, les permissions comptent plus que tout :

• Coinbase propose des niveaux de permission. Sa documentation sur l’autorisation décrit le niveau View comme un accès à des API qui ne font pas sortir de fonds du compte, tandis que Trade et Transfer permettent de passer des ordres et d’envoyer des fonds.
• Kraken sépare les permissions sur les fonds (consulter, déposer, retirer), sur les ordres et transactions (consulter, créer ou modifier, annuler) et sur les données, comme l’explique son guide How to create an API key.

Un outil de suivi de portefeuille n’a besoin que de lire : soldes et historique des transactions. Il ne devrait jamais demander de droit de trading, de retrait, de transfert ou de dépôt.

Ce que « lecture seule » devrait vouloir dire

« Lecture seule » n’a de valeur que si c’est imposé. Demandez-vous :

• L’appli vérifie-t-elle les permissions de la clé et refuse-t-elle les clés capables de trader ou de retirer, ou se contente-t-elle de vous demander gentiment une clé en consultation ?
• Revérifie-t-elle plus tard ? Les permissions peuvent être modifiées après la création de la clé.
• Pour un courtier, quels types de données sont demandés ? Positions et transactions suffisent à un outil de suivi. Aucun mouvement d’argent n’est nécessaire.

La liste à vérifier avant de connecter un compte

1. Où est-ce que je m’identifie ? Sur le site de mon établissement, les écrans de Plaid ou la plateforme elle-même, pas dans un formulaire de l’appli.
2. Quelles permissions a la clé ou la connexion ? Consultation uniquement. Pas de trading, de retrait, de transfert ni de dépôt.
3. Comment les identifiants sont-ils stockés ? Cherchez un chiffrement au repos et une indication claire de qui peut y accéder.
4. Puis-je révoquer l’accès ? Depuis l’appli et depuis le courtier ou la plateforme.
5. L’appli exige-t-elle la validation en deux étapes pour les actions sensibles comme connecter un courtier ?
6. Que deviennent mes données ? Sont-elles vendues ou utilisées pour la publicité ? Sont-elles supprimées quand je déconnecte un compte ou ferme le mien ?
7. L’appli dit-elle ce qu’elle ne peut pas faire ? Un « nous ne pouvons ni trader ni déplacer vos fonds » est bon signe. Les slogans flous sur la sécurité ne remplacent pas des faits précis.
8. Puis-je restreindre davantage la clé ? Certaines plateformes permettent de limiter une clé à certaines adresses IP ou à un seul portefeuille.

Créer une clé de plateforme en lecture seule

Sonar n’en a pas besoin : les plateformes s’y connectent via Plaid. Si une autre appli vous demande une clé, voici des étapes générales ; les menus changent avec le temps, suivez l’aide actuelle de votre plateforme.

1. Ouvrez la section API des paramètres de votre compte.
2. Créez une clé et donnez-lui un nom reconnaissable, par exemple celui de l’appli.
3. Ne cochez que les permissions de consultation des soldes et de l’historique.
4. Laissez décochés le trading, le retrait, le transfert et le dépôt.
5. Si c’est proposé, limitez la clé à un seul portefeuille ou à une liste d’adresses IP.
6. Copiez la clé et le secret directement dans l’appli. Ne les gardez ni dans vos notes ni dans un e-mail.
7. Supprimez la clé sur la plateforme si vous cessez d’utiliser l’appli.

Comment Sonar connecte les comptes

Sonar est en lecture seule par conception. Concrètement :

• Les wallets se connectent uniquement par adresse publique. Sonar ne demande jamais de clé privée ni de phrase de récupération. Voir suivre un portefeuille crypto par son adresse.
• Les plateformes comme Coinbase ou Kraken se connectent via Plaid, comme les courtiers, quand Plaid les propose. Sonar n’accepte pas de clés API de plateforme : il n’y a donc aucune clé à créer, stocker ou laisser fuiter.
• Les courtiers se connectent via Plaid avec les offres Starter, Standard et Premium, pour les seules données d’investissement : positions, opérations, dividendes et frais. Vous vous identifiez sur les écrans de Plaid ou de votre établissement : votre mot de passe n’arrive jamais chez Sonar. La connexion d’un courtier ou d’une plateforme exige la validation en deux étapes sur votre compte Sonar, et la suppression de la connexion révoque l’accès de Sonar chez Plaid. Les établissements proposés dépendent de la couverture de Plaid dans votre pays. Voir le suivi de comptes de courtage.
• Vos données ne sont ni vendues ni utilisées pour la publicité. Déconnecter un compte supprime ses données et révoque l’accès.

La page sécurité liste ce que Sonar conserve, ce qu’il ne stocke jamais et comment signaler une vulnérabilité. Les limites de comptes connectés par offre sont sur la page tarifs.

Les risques qui restent, même en lecture seule

La lecture seule supprime le plus gros risque, que quelqu’un trade ou retire avec vos accès, mais pas tous :

• La confidentialité. L’appli voit vos positions et votre historique. Choisissez des services qui expliquent ce qu’ils stockent et ne revendent pas les données.
• Une fuite chez l’appli pourrait exposer ce qu’elle conserve. Des identifiants chiffrés et un minimum de données en limitent l’impact.
• L’hameçonnage. De fausses versions d’applis ou de plateformes peuvent vous piéger. Vérifiez la barre d’adresse avant de saisir vos identifiants. L’AMF rappelle les signaux d’alerte sur sa page Éviter les arnaques.
• Des clés trop permissives oubliées. Passez régulièrement en revue et supprimez les clés API inutilisées sur vos plateformes.

FAQ

Une appli de suivi peut-elle voler mon argent ?

Pas avec une connexion réellement en lecture seule. Une clé API en consultation, une adresse publique de wallet ou une connexion courtier limitée aux données d’investissement ne permettent ni de passer des ordres ni de retirer des fonds. Le risque vient des applis qui demandent des droits de trading ou de retrait, des mots de passe ou des phrases de récupération.

Plaid est-il fiable ?

Plaid est utilisé par de nombreuses applis financières, et il vous fait vous identifier sur ses écrans ou ceux de votre établissement plutôt que de confier votre mot de passe à l’appli. Comme pour tout service, regardez quelles données l’appli demande et lisez sa politique de confidentialité. Plaid publie sa démarche sur sa page sécurité.

Dois-je donner le secret de ma clé API à une appli ?

Seulement pour une clé en consultation, et seulement à une appli qui explique comment elle la stocke. Ne partagez jamais une clé dotée de droits de trading ou de retrait avec un outil de suivi.

Que faire si je pense qu’une clé a fuité ?

Supprimez-la immédiatement sur la plateforme, puis créez une nouvelle clé en consultation si vous voulez garder la connexion. Vérifiez l’activité récente du compte et vos paramètres de sécurité.

Suis-je obligé de connecter mes comptes ?

Non. Vous pouvez importer un export CSV ou saisir vos positions à la main. Voir comment exporter ses transactions en CSV.