Accueil › Guides › Clé API Binance sécurisée

🔒 Sécurité — guide cornerstone

Créer une clé API Binance sécurisée pour un bot de trading

Publié le 1er mai 2026 · Lecture estimée 12 min

Une clé API mal configurée est le risque numéro un quand vous connectez un bot de trading à votre compte Binance. Pas le marché, pas la stratégie, pas la fiabilité du bot lui-même : la clé API. Parce qu'une clé compromise avec les mauvaises permissions peut vider votre compte en quelques minutes, sans aucun ordre de trading mal exécuté en cause.

Ce guide rassemble la méthode complète pour configurer une clé API Binance proprement : quelles permissions activer, lesquelles refuser absolument, comment restreindre l'accès par IP, comment stocker la clé, et quoi faire si elle est compromise. Toutes les règles s'appliquent que vous utilisiez Sextant, un autre bot, ou un script maison.

Le but n'est pas de vous faire peur. C'est de vous donner les bons réflexes une fois pour toutes — vous économiserez du stress, et probablement de l'argent.

1. Une clé API, c'est quoi exactement

Une clé API Binance, c'est l'équivalent d'un trousseau qui permet à une application tierce — un bot, un script, un dashboard — d'agir sur votre compte sans avoir besoin de votre mot de passe ni de vos codes 2FA. Concrètement, deux chaînes de caractères :

Le secret n'est affiché qu'une seule fois à la création. Si vous le perdez, vous devez supprimer la clé et en recréer une. C'est volontaire — Binance ne le stocke pas en clair de leur côté non plus.

Une clé API a des permissions : ce qu'elle est autorisée à faire. C'est là que se joue la sécurité — la majorité des incidents viennent de clés sur lesquelles trop de permissions ont été activées « par défaut » ou « au cas où ».

2. Pré-requis avant de créer la clé

Avant de cliquer sur « Create API », vérifiez ces trois éléments sur votre compte Binance :

  1. KYC complet (vérification d'identité). Sans KYC, certaines fonctionnalités API sont plafonnées ou bloquées. Vérifiez dans Account → Identification.
  2. 2FA actif. Idéalement avec une application authenticator (Authy, Google Authenticator, 1Password OTP) — pas par SMS, qui est vulnérable au SIM swap. Activez aussi la protection anti-phishing dans Security (un code court personnalisé qui apparaîtra dans tous les emails Binance officiels).
  3. Adresses de retrait whitelistées. Cette protection est indépendante de l'API mais critique : seuls les wallets que vous avez explicitement autorisés peuvent recevoir des retraits, même en cas de compromission. À configurer dans Security → Address Management → Whitelist.
Bon réflexe Activez aussi les notifications email pour tout nouvel API key créé, modifié ou supprimé. Si quelqu'un essaie un jour de créer une clé sur votre compte sans vous, vous le saurez en moins d'une minute.

3. Création étape par étape

La création d'une clé API se fait depuis l'interface web Binance, jamais depuis l'application mobile (l'app n'expose pas toutes les options de sécurité).

  1. Connectez-vous sur binance.com depuis votre navigateur habituel.
  2. Menu utilisateur (en haut à droite) → API Management.
  3. Cliquez Create API. Choisissez System generated (Binance génère pour vous) — l'option Self-generated est réservée aux usages avancés avec hardware key, qu'on ne couvre pas ici.
  4. Donnez un nom explicite à la clé : sextant-prod, perso-script-2026, etc. Le but est de retrouver d'un coup d'œil quelle clé sert à quoi en cas de doute.
  5. Validez avec votre 2FA + email + SMS si demandé.
  6. Binance affiche votre API Key et votre Secret Key. Copiez-les immédiatement dans votre gestionnaire de mots de passe (voir section 6) — la Secret Key ne sera plus jamais affichée.

Vous arrivez ensuite sur la page de configuration de la clé. Tout n'est pas encore sécurisé à ce stade. Les sections suivantes sont aussi importantes que la création elle-même.

4. Permissions : ce qu'il faut activer et refuser

Sur la page de configuration de la clé, vous voyez plusieurs cases à cocher / décocher. Voici la règle simple : activez le strict minimum, refusez tout le reste.

À activer

À refuser absolument

⚠️ Le risque réel Si une clé avec « Enable Withdrawals » fuite (ordinateur compromis, fichier .env publié sur GitHub par erreur, screenshot maladroit), un attaquant peut transférer instantanément tout votre solde vers son propre wallet. Si la clé n'a que « Reading + Spot Trading », il pourrait au pire passer des ordres de marché — désastreux mais récupérable. La whitelist d'adresses de retrait que vous avez activée à la section 2 est votre seconde ligne de défense ; ne comptez pas dessus comme première.

5. IP whitelist : non négociable pour un bot

Sur la même page, vous voyez deux options de restriction d'accès :

Pour un bot qui tourne sur un serveur (VPS, machine dédiée), trouvez l'IP publique du serveur et ajoutez-la. Quelques façons de l'obtenir :

# Depuis le serveur lui-même
curl -s https://ifconfig.me

# Ou
curl -s https://api.ipify.org

# Pour un bot Sextant sur VPS, l'IP est celle du VPS — fixe par hébergeur

Ajoutez cette IP dans la liste blanche Binance. Vous pouvez en mettre plusieurs si vous testez aussi en local — mais évitez d'y mettre votre IP résidentielle si elle est dynamique (vous devrez la mettre à jour à chaque changement, ce qui est pénible et expose à des heures sans accès si vous oubliez).

Si Binance refuse l'enregistrement de la clé sans IP whitelist, c'est volontaire pour les permissions sensibles — c'est une bonne nouvelle, suivez la consigne.

Cas Sextant Sextant fonctionne avec votre clé API restée chez vous (vous n'avez jamais à nous l'envoyer). Vous configurez l'IP du serveur où Sextant tourne (le vôtre, ou notre VPS si vous utilisez l'offre managée). Aucun transfert de clé n'est nécessaire — c'est un design choisi pour que vous gardiez le contrôle.

6. Stocker votre clé proprement

Une fois la clé créée, vous avez deux chaînes : l'API Key et la Secret Key. Voici les règles de stockage :

Bonnes pratiques

À ne jamais faire

7. Tester votre clé en 30 secondes

Une fois la clé créée et restreinte par IP, vérifiez qu'elle fonctionne avec une commande read-only sans risque :

curl -H "X-MBX-APIKEY: VOTRE_API_KEY" \
  "https://api.binance.com/api/v3/account?timestamp=$(date +%s%3N)&signature=..."

En réalité, la signature HMAC-SHA256 demande un calcul — la plupart des bots et SDK le font automatiquement. Le vrai test simple à faire : lancez votre bot en mode dry-run / paper avant tout passage en live. Si la connexion échoue, c'est presque toujours :

  1. Une faute de copie sur l'API Key ou la Secret Key (espace en trop, caractère oublié).
  2. L'IP whitelist mal configurée (vous avez peut-être lancé le bot depuis une autre machine que celle dont l'IP est whitelistée).
  3. Une permission manquante (vous avez activé Reading mais oublié Spot Trading, ou inversement).

Tant que le mode paper / dry-run n'est pas vert, ne passez jamais en live.

8. 5 pièges classiques à éviter

  1. Activer « Enable Withdrawals » par défaut. Le risque #1, déjà couvert. Aucun bot trading n'en a besoin.
  2. Réutiliser une clé pour plusieurs bots. Une clé = un bot. Si l'un est compromis, vous révoquez sans casser les autres.
  3. Oublier d'archiver la date de création. Une bonne pratique est de faire une rotation annuelle. Sans date, vous oubliez.
  4. Laisser une clé inactive « au cas où ». Toute clé non utilisée doit être supprimée. Une clé existe = une surface d'attaque potentielle.
  5. Tester d'abord en live « parce que paper c'est pas pareil ». C'est faux. Le paper trading expose les bugs de connexion, de permissions et de logique avant que ça ne coûte de l'argent. Sautez cette étape, vous le paierez.

9. Si votre clé est compromise

Procédure d'urgence en moins de 5 minutes :

  1. Connectez-vous sur Binance → API Management.
  2. Supprimez la clé compromise immédiatement. Pas de modification, pas de désactivation temporaire — supprimez.
  3. Vérifiez l'historique des trades et des retraits sur les dernières 24-48 h. Si vous voyez quelque chose d'anormal, contactez le support Binance dans la foulée.
  4. Recréez une nouvelle clé avec les mêmes restrictions (permissions minimales + IP whitelist), mettez-la à jour dans votre bot.
  5. Auditez d'où venait la fuite : machine compromise, repo Git public, copier-coller imprudent ? Sans cette étape, vous referez la même erreur la fois suivante.

Si la clé compromise n'avait que « Reading + Spot Trading » et que votre whitelist d'adresses de retrait était active, vous avez probablement évité le pire. C'est exactement pour ça qu'on configure les deux dès le début.

10. FAQ — questions courantes

Faut-il un compte Binance vérifié pour utiliser un bot ?

Oui. Le KYC complet débloque les limites API et reste obligatoire en France pour les services régulés. Sans KYC, beaucoup de fonctionnalités sont plafonnées ou refusées.

Peut-on utiliser plusieurs clés API simultanément ?

Oui, et c'est même recommandé : une clé par usage (un bot, un script, un dashboard). Vous pouvez en créer plusieurs sur le même compte.

L'IP whitelist bloque-t-elle si mon serveur change d'IP ?

Oui, c'est exactement le but. Si votre VPS change d'IP, le bot ne peut plus communiquer avec Binance — c'est une protection. Vous mettez à jour l'IP dans la console Binance et tout repart. Pour cette raison, choisissez un VPS avec IP fixe (la majorité des hébergeurs sérieux le proposent).

Combien de temps faut-il pour créer une clé API ?

Cinq minutes si tout est prêt (KYC + 2FA actifs). Compter dix minutes si vous configurez aussi la whitelist d'adresses de retrait pour la première fois.

Quelle différence entre une clé API et une clé Read-only ?

« Read-only » est une clé avec uniquement la permission de lecture. Vous pouvez consulter mais rien faire. Utile pour un dashboard de suivi, inutile pour un bot qui doit trader. Vous avez besoin a minima de Reading + Spot Trading pour un bot.

Sextant a-t-il besoin de ma Secret Key ?

Sextant la lit en local sur le serveur où il tourne, dans votre fichier .env. Elle n'est jamais transmise vers nos serveurs. C'est volontaire : vous gardez la clé, on opère uniquement le code. Si vous arrêtez Sextant, vous supprimez votre clé et tout est terminé en deux minutes.

Vous n'avez pas encore de compte Binance ?

Si vous décidez d'en créer un pour utiliser Sextant ou un autre bot, vous pouvez passer par notre lien de parrainage. Vous bénéficiez d'une réduction sur vos frais de trading, et Sextant reçoit en contrepartie une petite commission de Binance — sans surcoût pour vous.

Transparence — ce lien est un lien partenaire (programme de parrainage Binance, code CPA_00HIYQ4CUB). Il ne change ni les frais ni les fonctionnalités auxquels vous avez accès. Si vous préférez ouvrir un compte directement sur binance.com, c'est tout aussi bien.

Ouvrir un compte Binance avec réduction sur les frais Lien de parrainage Sextant — réduction frais incluse, KYC à finaliser ensuite. Créer un compte Binance →

Une fois le compte ouvert et le KYC fait, revenez à ce guide depuis l'étape 2 et suivez la procédure complète. Vous serez prêt à connecter Sextant — ou n'importe quel bot trading sérieux — en toute sécurité.

Pour aller plus loin

Maintenant que votre clé est sécurisée, deux lectures complémentaires :