Clé API en lecture seule : Binance, Bybit, OKX et MT5
Ce que peut une clé API en lecture seule et pourquoi elle est sûre : autorisations Binance, Bybit et OKX, mot de passe investisseur MT5, IP et fuites.
Une clé API en lecture seule voit votre solde, vos positions et votre historique de trading, mais elle ne peut ni passer d’ordres, ni transférer des fonds, ni les retirer. C’est pourquoi vous pouvez en donner une à un journal de trading ou à un outil fiscal : même volée, elle expose des données, pas le compte. Ci-dessous : quelles autorisations garder sur Binance, Bybit et OKX, ce que MetaTrader 5 donne à la place d’une clé, quand lier une clé à une adresse IP et que faire en cas de fuite d’une clé.
Ce que peut faire une clé en lecture seule
Une clé API est une paire de chaînes de caractères, la clé et le secret. Avec elles, un programme entre dans votre compte d’exchange sans votre mot de passe et fait tout ce que permettent les autorisations de la clé. Il y a trois types d’autorisation :
- Lire. Les soldes, les positions, les ordres et l’historique de trading.
- Trader. Passer, modifier et annuler des ordres en votre nom.
- Retirer et transférer. Sortir de l’argent du compte ou le déplacer entre comptes.
Une clé qui peut trader donne déjà accès à votre argent. Si elle est volée chez un service ou sur votre ordinateur, un inconnu peut trader sur votre compte et, avec les droits de retrait, prendre aussi les fonds. Binance le dit clairement : saisir vos clés sur une plateforme tierce présente un risque de sécurité.
Une clé en lecture seule supprime ce risque. Elle expose toutefois des données : votre historique de trading et la taille de votre compte. Ne la donnez qu’à des services de confiance, et donnez à chacun sa propre clé.
Quelles autorisations garder : Binance, Bybit, OKX et MetaTrader 5
Chaque plateforme utilise ses propres noms. Le schéma suit les pages d’aide et la documentation des exchanges et de MetaQuotes au 8 octobre 2026. Ce n’est pas une capture d’écran : les écrans diffèrent selon la région et la version.
| Où | À garder | À laisser désactivé | Comment un service le vérifie |
|---|---|---|---|
| Binance | Activer la lecture (Enable Reading) | Enable Spot & Margin Trading, Enable Margin Loan, Repay & Transfer, Enable Futures, Enable Withdrawals | la requête apiRestrictions : enableReading = true, toutes les autres autorisations à false |
| Bybit | Read-Only | Read-Write | la requête query-api : readOnly = 1 |
| OKX | Lecture (Read) | Trader, Retirer (Trade, Withdraw) | la requête account/config : perm = read_only |
| MetaTrader 5 | mot de passe investisseur | mot de passe principal | pas de clés : le mot de passe lui-même fixe les droits |
Si un journal ou un outil d’analyse demande des droits de trading ou de retrait, c’est une raison de refuser. La lecture est tout ce dont ils ont besoin.
Comment créer la clé sur chaque exchange
Binance
Binance demande d’abord trois choses : l’authentification à deux facteurs (A2F), un dépôt de n’importe quel montant sur votre portefeuille Spot et une vérification d’identité terminée.
- Ouvrez « Gestion des API ». Icône du profil → Compte → Gestion des API.
- Créez la clé. Créer une API → une clé générée par le système (System generated), nommez-la et confirmez avec l’A2F ou une clé d’accès.
- Conservez le secret. La clé secrète n’est visible qu’à la création ; elle est ensuite masquée.
- Vérifiez les autorisations. Dans Edit restrictions, seule « Activer la lecture » est cochée. Elle l’est par défaut.
Depuis le 30 janvier 2023, une clé générée par le système sans restriction IP ne peut que lire. Binance n’active les retraits que sur une clé liée à des adresses IP.
Bybit
Les clés se créent uniquement sur le site ; l’application ne le permet pas. Sur un nouveau compte, la création de clés peut être bloquée pendant les 48 premières heures.
- Ouvrez API Management. Icône du profil en haut à droite → API.
- Créez la clé. Create New Key → System-generated API Keys → API Transaction, puis nommez-la.
- Choisissez Read-Only. L’autre option, Read-Write, permet de trader.
- Cochez les sections. Par exemple, Unified Trading. Une clé Read-Only ne fera que les lire.
- Confirmez et conservez le secret. Votre code Google Authenticator, puis l’API Key et l’API Secret. Le secret ne s’affiche qu’une fois.
OKX
- Ouvrez la section API. Profil → API ; sur le site, elle peut s’appeler « API et connexions ». Cliquez sur « Créer une clé API ».
- Remplissez le formulaire. Un nom, le compte (principal ou un sous-compte) et l’usage de la clé.
- Ne gardez qu’une autorisation : Lecture. Laissez « Trader » et « Retirer » désactivées.
- Définissez une phrase secrète. C’est le mot de passe propre à la clé. Vous ne pourrez pas la consulter plus tard : si vous la perdez, supprimez la clé et créez-en une nouvelle.
- Conservez les trois chaînes. La clé API, la clé secrète et la phrase secrète.
Dans certaines régions, OKX ne permet de créer une clé que si le compte détient plus de 100 $. Les résidents de l’Espace économique européen et des États-Unis ont leurs propres sites OKX, et leurs clés passent par eea.okx.com et us.okx.com. Vérifiez que le service prend en charge le vôtre.
MetaTrader 5 : le mot de passe investisseur
Un compte MetaTrader 5 a deux mots de passe. Le mot de passe principal donne tous les droits. Le mot de passe investisseur permet de consulter le compte et d’analyser les prix, mais pas de trader. C’est lui qu’un journal reçoit à la place d’une clé.
Vous pouvez changer le mot de passe investisseur dans le terminal : Outils → Options → onglet Serveur → Changer → Changer le mot de passe investisseur. Si le broker impose un changement du mot de passe principal, le mot de passe investisseur est lui aussi réinitialisé.
Faut-il lier la clé à une adresse IP ?
Lier une clé à une adresse IP signifie qu’elle n’accepte que les requêtes des adresses que vous indiquez. Les exchanges le recommandent : une clé liée et volée ne fonctionnera pas depuis l’ordinateur de quelqu’un d’autre.
La règle est simple. Si un service publie ses adresses IP, saisissez-les. S’il ne le fait pas, une clé en lecture seule peut rester sans liaison : elle ne peut de toute façon ni trader ni retirer de fonds. Mais chaque exchange a ses propres limites pour les clés non liées.
| Exchange | Une clé sans liaison IP |
|---|---|
| Bybit | Cesse de fonctionner au bout de 90 jours, ou 7 jours après un changement du mot de passe du compte |
| Binance | Supprimée après 30 jours d’inactivité |
| OKX | Une clé avec « Trader » ou « Retirer » est supprimée après 14 jours d’inactivité |
Un service qui utilise la clé en permanence n’est jamais concerné par la règle des 30 jours de Binance. Sur Bybit, en revanche, une clé non liée cesse de fonctionner au bout de 90 jours. Nos pages sur la connexion de Binance, Bybit et OKX expliquent quoi choisir quand vous connectez un journal sur chaque exchange, et comment prolonger une clé Bybit.
Que faire en cas de fuite d’une clé
Bybit liste les endroits où un secret ne doit jamais figurer : les captures d’écran et les vidéos, le code source public et les dépôts, les messages sur des canaux non sécurisés. Si le secret a pu parvenir à quelqu’un d’autre :
- Supprimez la clé tout de suite. Sur Binance dans « Gestion des API », sur Bybit avec Delete dans la colonne Action (sur le site uniquement), sur OKX dans la section API. Une clé supprimée ne fonctionne pour personne.
- Ne comptez pas sur un changement de mot de passe. Sur Bybit, une clé non liée continue de fonctionner 7 jours après un changement du mot de passe du compte. Seule sa suppression la désactive.
- Vérifiez l’historique. Les ordres, les trades, les transferts et les retraits des derniers jours. Sur OKX, le Security Center montre quand des clés avec « Trader » ou « Retirer » et sans liaison IP ont été utilisées.
- Créez une nouvelle clé. En lecture seule, et une par service, pour qu’une fuite chez l’un n’oblige pas à tout corriger partout.
- Contactez le support de l’exchange. Si vous voyez des trades ou des retraits que vous n’avez pas faits.
Une liste de contrôle avant de confier une clé
- Une seule autorisation : la lecture. Vérifiez-la sur la page API après la création de la clé, pas seulement pendant la création.
- Une clé par service. Supprimez celle dont vous n’avez plus besoin sans toucher aux autres.
Un journal connecté par une clé enregistre lui-même les trades, avec les frais, le funding et la MAE et la MFE. Si vous tenez votre journal à la main, vous n’avez besoin d’aucune clé : le modèle de journal de trading pour Excel suffit, et ce qu’il faut noter est expliqué dans Comment tenir un journal de trading.
Sources
- Binance : Comment créer des clés API sur Binance ? — les conditions, les étapes, « Activer la lecture » ; depuis le 30 janvier 2023, une clé sans restriction IP ne peut que lire ; les retraits exigent une restriction IP.
- Binance : Questions fréquentes sur les API — la clé secrète n’est visible qu’à la création ; les plateformes tierces présentent un risque de sécurité.
- Binance : How to Use an API Key Securely (en anglais) — les clés non liées inactives pendant 30 jours sont supprimées ; une clé par usage ; changez une clé tout de suite si vous la soupçonnez compromise.
- Binance Developers : Wallet Quick Start (en anglais) — la restriction par défaut d’une nouvelle clé est Enable Reading.
- Binance Developers : Margin Trading Best Practice (en anglais) — les autorisations Enable Spot & Margin Trading et Enable Margin Loan, Repay & Transfer.
- Binance : How to Create an API Key for a Futures Lead Trading Portfolio? (en anglais) — le bouton Edit restrictions et l’autorisation Enable Futures.
- Binance : How to Download and Set up Binance Gift Card API (en anglais) — l’autorisation Enable Withdrawals.
- Binance Developers : Get API Key Permission (en anglais) — la requête apiRestrictions et ses champs.
- Bybit : How to Create Your API Key? (en anglais) — sur le site uniquement, 48 heures pour un nouveau compte, les étapes dans API Management.
- Bybit EU : What Is API Trading and How to Set It Up (en anglais) — Read-Only et Read-Write, IP whitelisting et No IP restriction, 90 jours sans liaison, le secret affiché une fois, les endroits où un secret ne doit jamais figurer.
- API Bybit : Create Sub UID API Key (en anglais) — une clé non liée cesse de fonctionner au bout de 90 jours, ou 7 jours après un changement de mot de passe.
- API Bybit : Get API Key Information (en anglais) — la requête query-api et son champ readOnly.
- Bybit : How to Delete Your API Key (en anglais) — Delete dans la colonne Action, sur le site uniquement.
- OKX : Questions fréquentes sur l’API OKX — la création d’une clé, la phrase secrète, la condition des 100 $, les sites EEE et américain, l’expiration des clés sans liaison IP.
- Documentation de l’API OKX v5 (en anglais) — les autorisations Read, Trade et Withdraw ; jusqu’à 20 adresses IP ; 14 jours pour une clé non liée avec Trade ou Withdraw ; le Security Center ; la requête account/config et son champ perm.
- Aide de MetaTrader 5 : Se connecter à un compte — les mots de passe principal et investisseur et ce que permet l’accès investisseur.
- Aide de MetaTrader 5 : Paramètres de la plateforme — le changement du mot de passe investisseur dans l’onglet Serveur.
Les noms des boutons viennent de l’aide des exchanges en français quand elle existe (la création d’une clé Binance, OKX), sinon de leurs sites en anglais. Dans d’autres langues et sur les sites régionaux, ils peuvent être formulés autrement, et les exchanges remanient leurs pages de temps en temps.
