Brancher une plateforme d'échange en lecture seule

Pour suivre le compte Kraken ou Coinbase d'un client sans jamais pouvoir bouger ses fonds : les droits d'une clé API qu'on accepte, ceux qu'on refuse, et comment le vérifier à chaque synchronisation.

Statut : réponse rédigée par Cinqtreize (avec l'aide d'une IA) à partir des textes cités en bas de page. Ce qui est marqué « proposition » n'est pas dans le texte : c'est un choix de l'outil, à valider par l'expert-comptable. Ceci n'est pas un conseil comptable, fiscal ou juridique. Mis à jour le 2026-10-14.

En bref

Beaucoup de clients de cabinets détiennent leurs USDC sur une plateforme, pas sur un wallet. Cinqtreize peut lire l'historique d'un compte Kraken ou Coinbase avec une clé API, à une condition : cette clé ne doit avoir aucun droit de retrait, de trading ni d'écriture. Si elle en a un seul de trop, Cinqtreize la refuse.

Les droits acceptés et refusés

Kraken permet à une clé de lister ses propres droits sans effet de bord (GetApiKeyInfo). Cinqtreize applique une liste blanche, pas une liste noire :

Droit	Décision
`query-funds` (voir les soldes)	requis
`query-ledger` (voir le grand livre)	requis
`query-open-trades`, `query-closed-trades`	acceptés
retrait de fonds, ajout de fonds, trading, adresses de retrait, export de données, tout droit inconnu	refusés

Cette liste est revérifiée à chaque synchronisation : si la clé est élargie après coup, la connexion passe en « refusée » et plus rien n'est lu.

Comment créer la clé (côté client)

Dans l'espace Kraken du client : créer une clé API ne cochant que les deux droits requis (et au plus les deux droits de consultation des ordres), avec si possible une liste d'adresses IP autorisées et une date d'expiration. La clé et sa clé privée sont chiffrées dans Cinqtreize et ne sont jamais réaffichées.

Coinbase : le droit de lecture seul

Coinbase permet aussi à une clé de dire ses propres droits (key_permissions, sans effet de bord). Cinqtreize n'accepte la clé que si can_view est vrai et can_trade et can_transfer sont faux ; un champ absent ou une valeur inattendue vaut refus. Vérification refaite à chaque synchronisation.

Droit Coinbase	Décision
`can_view` (voir comptes et historique)	requis
`can_trade` (passer des ordres)	refusé
`can_transfer` (dépôts et retraits)	refusé

Côté client : dans le portail Coinbase Developer Platform, créer une clé API secrète de type ECDSA (pas Ed25519), limitée au portefeuille à suivre, avec le seul droit « View », idéalement avec une liste d'adresses IP autorisées. Cinqtreize reçoit le nom de la clé et sa clé privée (bloc PEM) ; elles sont chiffrées, jamais réaffichées, et chaque requête est signée par un jeton qui expire en 2 minutes. Une clé ne lit qu'un portefeuille : un second portefeuille demande sa propre clé.

Ce qui est lu

Pour Kraken : soldes et grand livre filtrés sur USDC, EURC, USDT et leurs variantes Earn. Pour Coinbase : comptes et transactions des mêmes jetons (l'USDT reste « à qualifier » tant que le cabinet n'a pas décidé, voir USDT : 513 ou 522 ?). Les frais de la plateforme sont des frais de plateforme (pas du gas) et sont traités comme une sortie séparée dans le jeton concerné ; leur imputation en charge est une proposition à valider par l'expert-comptable (les jetons de monnaie électronique détenus sur la plateforme restent en compte 513, art. 619-8 du règlement ANC 2026-01). Au-delà de 2 000 pages de grand livre, une erreur explicite demande une date de départ plus récente : l'historique n'est jamais tronqué en silence.

Limites honnêtes

Les comptes Earn et les sous-comptes ne sont pas encore distingués.
Bitstamp n'est pas encore pris en charge : sa clé ne permet pas de prouver par l'API qu'elle est en lecture seule.
Coinbase : les frais de plateforme ne sont lus que lorsqu'ils sont indiqués sur l'envoi (frais réseau annoncé) ; les commissions des ordres ne sont pas encore reprises.
Les réponses de l'API Kraken et Coinbase utilisées dans les tests sont construites d'après la documentation publique, pas enregistrées sur un compte réel.