Sécurisez votre compte d’exchange avec un mot de passe unique, une authentification à deux facteurs résistante au phishing, une messagerie verrouillée, une liste blanche de retrait et des alertes de compte. Contrôlez ensuite les sessions, les clés API et les méthodes de récupération : les attaquants passent souvent par l’e-mail ou le support plutôt que par l’écran de trading.
Ce qui compte réellement#
Une plateforme centralisée contrôle les retraits après avoir authentifié votre compte. La sécurité dépend donc à la fois de ses propres contrôles et de chaque canal lié capable de réinitialiser vos accès.
L’interface visible ne montre qu’une partie du système. Vérifiez l’identité du service, l’actif, le réseau et l’autorité concernée avant de considérer un nom familier ou une notification comme une preuve.
Une méthode concrète#
- Protégez la messagerie associée avec sa propre 2FA robuste. Utilisez de préférence une clé de sécurité ou une passkey, vérifiez ses options de récupération et retirez les anciens appareils ou numéros.
- Créez un mot de passe unique avec un gestionnaire. Ne réutilisez aucune variante d’un mot de passe existant et enregistrez-le uniquement dans un gestionnaire de confiance protégé séparément.
- Enregistrez deux clés de sécurité ou une sauvegarde fiable de l’authentificateur. Conservez le second facteur de secours dans un autre endroit sûr et testez la procédure avant d’en avoir besoin.
- Activez la liste blanche des adresses de retrait et le code anti-phishing. Vérifiez le délai de sécurité appliqué aux nouvelles adresses et n’utilisez pas le code anti-phishing comme raison de cliquer sans contrôler le domaine.
- Supprimez les clés API inutilisées et révoquez les sessions inconnues. Restreignez les permissions et les adresses IP des clés restantes, puis examinez l’historique des connexions.
Les erreurs qui changent l’issue#
- Réutiliser le mot de passe de l’exchange sur un autre service. Une fuite extérieure suffit alors à compromettre le compte, même si la plateforme elle-même n’a pas été piratée.
- Conserver une clé API autorisée à effectuer des retraits. Une clé volée peut transférer des fonds sans passer par votre parcours de connexion habituel.
- Laisser un ancien numéro de téléphone comme canal de récupération. Une réattribution du numéro ou une fraude à la carte SIM peut contourner d’autres protections.
- Ignorer une petite alerte de connexion ou de modification d’adresse. Elle peut être le premier test de l’attaquant avant une opération plus importante.
Une règle de décision réutilisable#
Pour les fonds qui ne servent pas au trading, comparez le risque opérationnel de l’auto-garde à celui de la conservation sur exchange. Le durcissement du compte réduit le risque de prise de contrôle, mais n’élimine ni le risque de plateforme ni celui d’insolvabilité.
Vérifier que la protection est effective#
Ne jugez pas la configuration uniquement parce que l’interface affiche « activé ». Testez les contrôles et conservez des éléments vérifiables une fois la page fermée, sans enregistrer les secrets.
| Point de contrôle | Preuve à obtenir | Condition d’arrêt |
|---|---|---|
| Protéger la messagerie avec sa propre 2FA | Contrôle daté des facteurs, appareils et méthodes de récupération | Mot de passe de l’exchange réutilisé ailleurs |
| Utiliser un mot de passe généré par un gestionnaire | Entrée unique confirmée dans le gestionnaire, valeur non affichée | Clé API disposant du droit de retrait |
| Enregistrer deux clés de sécurité ou une sauvegarde fiable | Test de connexion et de récupération daté, secrets masqués | Ancien numéro conservé comme canal de récupération |
Conservez les numéros de dossier, alertes datées et historiques de session utiles pour documenter la protection du compte, mais excluez les mots de passe, clés API, phrases de récupération et codes d’authentification.
Questions fréquentes#
Faut-il activer un code anti-phishing ?
Oui, lorsqu’il est proposé. Il aide à distinguer certains messages officiels, mais ne rend pas un lien sûr et ne remplace jamais la vérification du domaine.
Les clés API sont-elles dangereuses ?
Elles peuvent l’être. Limitez leurs permissions et leurs adresses IP lorsque c’est possible, créez une clé par usage et supprimez-la dès qu’elle n’est plus nécessaire.
Que faire après une connexion inconnue ?
Bloquez les retraits si l’option existe, changez les identifiants depuis un appareil sain, révoquez toutes les sessions et clés API suspectes, puis contactez le support officiel depuis l’application ou le site vérifié.
Guides associés#
Sources#
Avertissement sur les risques : les opérations en cryptomonnaies peuvent être irréversibles. Ne communiquez jamais votre phrase de récupération, votre clé privée, votre mot de passe ou un code d’authentification, et vérifiez indépendamment chaque domaine et chaque demande affichée par votre portefeuille.
Règles éditoriales
Ce guide est éducatif et fondé sur des sources. Les mesures de sécurité, règles des plateformes et exigences légales peuvent évoluer ; vérifiez les étapes importantes auprès des sources officielles.
