Si l’on vous demande une clé API de votre plateforme pour établir votre rapport fiscal, douter est la réaction saine. « Et si l’on accédait à mes fonds ? » « Peut-on déplacer mes cryptos ? »
Réponse courte : non, c’est impossible. Cet article explique exactement pourquoi.
Ce qu’est une API, sans jargon
API signifie Application Programming Interface, interface de programmation. Cela sonne technique, mais l’idée est simple :
Une API est une porte contrôlée qui permet à un programme extérieur de dialoguer avec votre plateforme.
Pensez à une carte d’hôtel :
- La carte de votre chambre ouvre votre chambre uniquement, pas toutes les portes de l’établissement.
- Une API fonctionne pareil : elle porte les permissions précises que vous choisissez au moment de la créer.
Chaque fois que vous créez une clé sur une plateforme comme Binance, Kraken ou Bit2Me, c’est vous qui décidez de ce que cette connexion a le droit de faire.
Les trois niveaux de permission
Toutes les plateformes organisent les droits de leurs API de la même façon. Il existe généralement trois niveaux :
1. Lecture seule (Read Only)
- Ce qui est permis : consulter votre historique d’opérations, voir les soldes, télécharger les mouvements.
- Ce qui ne l’est PAS : acheter, vendre, retirer ou déplacer des fonds.
- L’équivalent : montrer votre relevé bancaire à quelqu’un. Les chiffres sont visibles, pas un centime n’est touchable.
2. Trading
- Ce qui est permis : tout ce qui précède, plus passer des ordres d’achat et de vente au sein de la plateforme.
- Ce qui ne l’est PAS : retirer des fonds vers des wallets externes.
- L’équivalent : laisser quelqu’un négocier en votre nom, sans pouvoir sortir d’argent du compte.
3. Retrait (Withdrawal)
- Ce qui est permis : tout ce qui précède, plus envoyer des cryptos vers des adresses externes.
- Seul ce niveau pourrait mettre vos fonds en danger.
- L’équivalent : remettre les clés complètes de votre compte.
Ce dont un rapport fiscal a réellement besoin : la lecture seule
Produire un rapport fiscal crypto ne demande que le premier niveau, rien de plus.
Tout ce que l’on fait avec cette clé, c’est :
- télécharger votre historique d’achats et de ventes
- consulter vos dépôts et vos retraits
- lire la date et le prix de chaque opération
Aucun ordre. Aucun retrait. Uniquement lire des données.
Pourquoi déplacer des fonds avec une clé en lecture seule est techniquement impossible
Ce n’est pas une question de confiance, mais une limite technique imposée par la plateforme elle-même.
Quand vous créez une clé en lecture seule, la plateforme génère des identifiants (API Key et Secret Key) soumis à des règles strictes côté serveur :
-
La plateforme vérifie les droits à chaque requête. À chaque utilisation de la clé, le serveur contrôle ce que cette clé a le droit de faire. Si quelqu’un tente un ordre ou un retrait avec une clé en lecture seule, la plateforme rejette l’opération automatiquement.
-
Les droits ne peuvent pas être élargis. Ils sont fixés au moment de la création. Impossible d’étendre une clé existante sans se connecter à votre compte avec votre mot de passe et la double authentification (2FA).
-
Chaque clé possède sa propre paire d’identifiants. Détenir la clé de lecture ne donne accès à aucune autre clé que vous auriez créée avec des droits plus larges.
C’est comme vouloir ouvrir un coffre-fort avec la carte de la salle de sport : cela ne fonctionne tout simplement pas, le système ne le prévoit pas.
Les protections supplémentaires des plateformes
Les grandes plateformes ajoutent des couches de sécurité :
| Protection | Effet |
|---|---|
| Liste blanche d’IP | La clé ne fonctionne que depuis des adresses IP précises |
| 2FA à la création | La double authentification est exigée pour générer une clé |
| Permissions granulaires | Chaque droit s’active ou se désactive à la création |
| Date d’expiration | Certaines plateformes font expirer la clé automatiquement |
| Notifications | Vous recevez un e-mail dès qu’une nouvelle clé est créée sur votre compte |
Comparatif : ce que chaque type de clé permet
| Action | Lecture seule | Trading | Retrait |
|---|---|---|---|
| Voir l’historique d’opérations | Oui | Oui | Oui |
| Consulter les soldes | Oui | Oui | Oui |
| Télécharger les mouvements | Oui | Oui | Oui |
| Acheter ou vendre des cryptos | Non | Oui | Oui |
| Passer des ordres | Non | Oui | Oui |
| Retirer vers un wallet externe | Non | Non | Oui |
| Envoyer des cryptos à un tiers | Non | Non | Oui |
Et si je veux couper l’accès ?
Vous pouvez supprimer la clé depuis votre plateforme à tout moment. L’effet est immédiat : une fois supprimée, les identifiants cessent de fonctionner sur-le-champ.
Même en partageant une clé de lecture pour un rapport fiscal, vous pouvez donc révoquer l’accès dès que le travail est terminé.
En résumé
- Une clé en lecture seule ne peut ni déplacer, ni acheter, ni vendre vos cryptos.
- Il s’agit d’une limite technique de la plateforme, pas d’une promesse de celui qui reçoit la clé.
- Un rapport fiscal a seulement besoin de lire votre historique, rien d’autre.
- Vous pouvez supprimer la clé à tout moment si vous n’en avez plus l’usage.
- Partager une clé en lecture seule est aussi sûr que de montrer un relevé bancaire : les chiffres se voient, l’argent reste hors d’atteinte.
Besoin d’aide pour votre rapport fiscal crypto ?
Chez colvence, une clé en lecture seule nous suffit. Nous ne demandons ni droits de trading ni droits de retrait, pour la simple raison que nous n’en avons pas besoin.
Si vous ne savez pas comment créer votre clé, nous avons un guide pas à pas pour chaque plateforme.
Victor Lazaro
Conseiller fiscal, colvence.com
