Sécuriser vos comptes de trading : une liste en 12 étapes

Transparence Les liens partenaires sont signalés. Nous pouvons toucher une commission si vous en utilisez un. Cela ne vous coûte rien de plus et ne change jamais notre verdict. Notre méthode de test

Un compte de trading sécurisé est un accès que vous pouvez encore récupérer après la perte de votre téléphone. La réponse courte tient en douze habitudes : un mot de passe unique, un second facteur qui n'est pas un SMS, un verrou sur le numéro de téléphone et une courte liste des endroits vers lesquels l'argent a le droit de partir. Appliquez-les à chaque courtier, chaque plateforme d'échange et chaque accès aux graphiques parmi vos comptes de trading.

La réponse courte pour un compte de trading sécurisé

La plupart des prises de contrôle d'un compte chez un courtier ou sur une plateforme d'échange commencent de la même façon. Quelqu'un a déjà le mot de passe, à cause d'une fuite sur un autre site ou d'une fausse page, et la seconde vérification est un SMS qu'il peut détourner. Fermer ces deux portes, puis indiquer à la plateforme quels comptes bancaires et quelles adresses de cryptomonnaie sont autorisés, voilà tout le travail.

Vous n'avez pas besoin d'un nouvel ordinateur. Il vous faut un après-midi et les accès que vous avez déjà. Travaillez dans l'ordre ci-dessous. Une étape ultérieure est plus faible si une étape précédente reste ouverte : une liste blanche sert à peu de chose si l'e-mail qui réinitialise le mot de passe est la même boîte que celle que vous utilisez pour chaque newsletter.

Les douze étapes portent sur l'accès, l'appareil et le chemin que prend l'argent pour sortir. Elles ne choisissent ni une opération, ni un marché, ni une taille. Pour les mots d'un ticket d'ordre, les guides sont l'endroit où lire, et le calculateur de taille de position est la page pour la taille d'une position. Cette liste s'arrête avant cela.

Douze étapes pour sécuriser un compte de trading

1. Utilisez des mots de passe uniques et un gestionnaire de mots de passe

Un mot de passe réutilisé, c'est ainsi qu'une fuite sur un site sans rapport devient un accès à votre courtier. L'autre site est piraté, l'e-mail et le mot de passe sont publiés, et un script essaie cette même paire chez chaque courtier et sur chaque plateforme d'échange qu'il trouve. Si vous avez utilisé la paire à deux endroits, les deux s'ouvrent.

Créez un mot de passe différent pour le courtier, la plateforme d'échange, le site de graphiques et la boîte mail qui peut les réinitialiser. Un gestionnaire de mots de passe se charge de les retenir. Utilisez celui intégré à votre téléphone, ou une application séparée que vous déverrouillez avec un mot de passe que vous avez mémorisé. Ce mot de passe principal ne sert nulle part ailleurs. Laissez le gestionnaire générer un mot de passe long et aléatoire pour chaque site. Vous ne devriez pas pouvoir réciter de mémoire le mot de passe du courtier, et vous ne devriez pas en avoir besoin.

Activez aussi un second facteur pour le gestionnaire lui-même, une application d'authentification ou une clé physique. Un gestionnaire qui s'ouvre avec un SMS a le même trou qu'un courtier qui le permet.

Sur un ordinateur que d'autres personnes utilisent, dites au navigateur de ne pas enregistrer le mot de passe du courtier, et verrouillez le gestionnaire quand vous vous levez. Quand vous fermez un ancien compte, changez tout mot de passe qui en avait été copié. N'écrivez rien sur un post-it collé à l'écran. Un post-it est un mot de passe que toute la pièce peut lire.

2. Activez une application d'authentification ou une clé physique, pas le SMS

Un second facteur est une vérification que le mot de passe seul ne peut pas franchir. Les formes solides sont une application d'authentification qui affiche un code changeant toutes les trente secondes, et une clé physique, un petit appareil que l'on touche, compatible avec la norme courante FIDO2. Les deux restent dans votre poche. Un SMS, non : il suit le numéro de téléphone, et le numéro de téléphone peut être déplacé.

Chez chaque courtier, sur chaque plateforme d'échange et dans chaque boîte mail, ouvrez les paramètres de sécurité et activez l'application ou la clé. Si le site propose les deux, enregistrez la clé et l'application, pour qu'une clé perdue ne vous bloque pas dehors. Conservez les codes de secours que le site vous affiche. Imprimez-les. Ne les laissez pas dans la boîte mail qui peut réinitialiser le compte. Un code rangé dans cette boîte est à la portée de quiconque obtient la boîte.

Beaucoup de courtiers ne proposent encore qu'une application, ou que le SMS. Utilisez l'application quand elle existe. N'utilisez le SMS que lorsque le site n'offre rien d'autre, et faites l'étape 3 le jour même. L'e-mail comme second facteur est un piètre substitut : il s'effondre si c'est justement la boîte mail qui a été prise.

Tant que vous êtes dans ces paramètres, désactivez toute option qui vous permet de sauter le second facteur à la prochaine connexion « parce que cet appareil est de confiance », sur un ordinateur que vous ne contrôlez pas entièrement. Un appareil de confiance est un appareil qui peut se connecter avec le seul mot de passe.

3. Ajoutez une protection contre le SIM swap chez votre opérateur

Un SIM swap est le transfert de votre numéro de téléphone sur une carte SIM détenue par quelqu'un d'autre. Cette personne demande à l'opérateur de déplacer le numéro, souvent avec quelques informations personnelles divulguées il y a des années. Votre téléphone devient muet. Le téléphone de cette personne commence à recevoir vos SMS, y compris les réinitialisations de mot de passe et les codes de connexion.

Appelez l'opérateur, ou utilisez l'espace client auquel vous êtes déjà connecté, et demandez un verrou sur les transferts de numéro. Les noms habituels sont code de portabilité, PIN de transfert ou verrouillage du numéro. Le but est le même : l'opérateur n'émettra pas de nouvelle carte SIM pour ce numéro sans que le code soit donné. Choisissez un code que vous n'utilisez pour rien d'autre, et rangez-le dans le gestionnaire de mots de passe, pas dans un SMS.

Mettez aussi un code PIN sur la carte SIM elle-même, pour qu'un téléphone volé ne puisse pas être glissé dans un autre appareil et utilisé aussitôt. Ce code PIN de la SIM n'empêche pas un transfert chez l'opérateur. Il vous faut les deux.

Demandez ce qu'il advient du verrou si quelqu'un entre plus tard dans une boutique. Certains opérateurs déplacent encore un numéro pour une personne qui se présente avec une pièce d'identité. Si c'est la règle, demandez quelle vérification supplémentaire ils peuvent ajouter, et notez la réponse dans le plan de récupération de l'étape 12. Faites-le pour chaque numéro qui peut recevoir un code du courtier, y compris un numéro professionnel si un code y arrive un jour.

4. Utilisez une adresse e-mail à part pour les accès au courtier et à la plateforme

La boîte mail est la vraie clé. Qui peut lire le message de réinitialisation peut remplacer le mot de passe, puis le second facteur, si le site autorise une réinitialisation par e-mail. Une adresse de tous les jours est un mauvais endroit pour ce message. Elle figure sur des dizaines de listes de diffusion, elle a été saisie dans des boutiques et des forums, et c'est l'adresse qui apparaît dans les fuites.

Créez une adresse et utilisez-la uniquement pour le courtier, la plateforme d'échange et l'accès aux graphiques. Donnez-lui son propre mot de passe long et une application d'authentification ou une clé physique, au même niveau qu'à l'étape 2. N'inscrivez cette adresse à aucune newsletter, aucune boutique, aucun espace de commentaires. Chaque inscription de plus est un autre endroit où l'adresse peut fuiter, et un autre e-mail à vérifier pour repérer les faux.

Ne transférez pas automatiquement cette boîte vers la boîte de tous les jours. Un transfert remet le lien de réinitialisation dans la boîte que vous cherchiez à quitter. Lisez la boîte du courtier à part. Si vous voulez une copie des relevés, créez un filtre qui transfère les relevés et ne transfère jamais un e-mail dont l'objet est une réinitialisation, un code ou un nouvel appareil.

Changez l'adresse chez chaque courtier et sur chaque plateforme tant que vous avez encore l'ancien accès. Certaines plateformes envoient une confirmation à l'ancienne et à la nouvelle adresse. Terminez cette confirmation avant de fermer l'onglet. Retirez ensuite l'ancienne adresse du compte, pour qu'une réinitialisation ne puisse pas revenir en arrière.

5. Mettez en liste blanche les adresses de retrait et les comptes bancaires

Une session volée est surtout utile si elle peut envoyer de l'argent vers un nouvel endroit. Retirez-lui cette possibilité. Sur une plateforme d'échange, activez la liste blanche des retraits, parfois appelée carnet d'adresses ou allowlist. N'ajoutez que les adresses que vous utilisez réellement. Activez le délai d'attente avant qu'une adresse nouvellement ajoutée puisse recevoir des fonds, si la plateforme en propose un. Un délai d'un ou deux jours suffit pour qu'une alerte de connexion vous parvienne, et il est assez court pour qu'un virement prévu ait quand même lieu.

Chez un courtier, la même idée s'applique au compte bancaire enregistré. Ajoutez le compte vers lequel vous retirez, et activez tout réglage qui refuse un retrait vers un compte que vous n'avez pas déjà approuvé. Si le courtier n'a pas ce réglage, demandez au support de noter le seul compte que vous utiliserez, et considérez comme suspect tout e-mail au sujet d'un nouveau compte bancaire tant que vous ne l'avez pas vérifié dans le site, connecté.

Revoyez la liste deux fois par an. Supprimez les adresses que vous n'utilisez plus. Une longue liste d'anciennes adresses est une liste d'endroits où un voleur peut encore envoyer des cryptomonnaies. Comparez le nom d'une adresse au portefeuille que vous détenez, et envoyez un tout petit premier retrait quand vous en ajoutez une, pour qu'une faute de frappe ne devienne pas la destination du reste de l'argent.

6. Mettez à jour le téléphone, l'ordinateur et le navigateur

Un logiciel ancien est une porte que l'éditeur a déjà déclarée ouverte. Il a publié le correctif. L'appareil ne l'a pas encore. Avant de compter sur un téléphone ou un ordinateur portable pour vous connecter au courtier, installez les mises à jour du système et redémarrez. Faites de même pour le navigateur. Un navigateur en retard d'un an charge les pages, et il charge aussi des failles que les versions récentes ont fermées.

Installez l'application du courtier depuis la boutique officielle, ou depuis le site du courtier dont vous avez vous-même saisi l'adresse. Ne l'installez pas depuis un fichier joint à un e-mail, même si l'e-mail a l'air correct. Sur un téléphone qui ne reçoit plus de mises à jour du système, cessez d'approuver des retraits. Servez-vous-en tout au plus pour lire un cours. Déplacez l'accès vers un appareil qui reçoit encore des correctifs.

Activez les mises à jour automatiques du système et du navigateur, puis vérifiez une fois par mois qu'elles ont bien eu lieu. Un réglage qui dit « automatique » et un redémarrage que vous repoussez sans cesse, cela revient à désactivé. Tant que vous y êtes, supprimez les applications de courtiers que vous n'utilisez plus, et déconnectez ces anciennes applications. Une application oubliée sur un vieux téléphone reste une session.

7. Vérifiez les e-mails du courtier avant de cliquer

Un e-mail d'hameçonnage utilise le nom du courtier et une raison de se presser : un compte bloqué, un retrait échoué, un document qui expire ce soir. La précipitation est le but. Elle est là pour que vous cliquiez avant de regarder.

Lisez le domaine après le signe @, pas le nom affiché. Le nom affiché peut dire n'importe quoi. Le domaine est le véritable expéditeur. Un domaine qui ajoute un mot, intervertit une lettre ou se termine par une autre extension est un autre site. Survolez un lien, ou appuyez longuement dessus sur un téléphone, et lisez l'adresse avant de l'ouvrir. Puis ne l'ouvrez pas. Tapez vous-même l'adresse du courtier, ou laissez le gestionnaire de mots de passe ouvrir le favori qu'il a déjà.

C'est la propriété utile d'un gestionnaire de mots de passe. Il remplit le mot de passe sur le vrai domaine et refuse sur l'imitation. Si le gestionnaire ne propose pas le mot de passe, vous êtes probablement sur le mauvais site. Fermez l'onglet et recommencez depuis le favori.

Un vrai courtier ne vous demande pas de lire à voix haute un code de connexion, d'envoyer une photo de votre phrase de récupération ni d'installer une application de prise en main à distance pour que le support « répare » le compte. Le support voit le compte de son côté. Un interlocuteur qui a besoin de votre code ne travaille pas pour eux. Raccrochez, trouvez le numéro sur le site du courtier et appelez vous-même ce numéro.

La même pause vaut pour les fichiers. Un relevé qui vous demande d'activer les macros, ou une « mise à jour de la plateforme » qui est un programme que vous n'avez pas demandé, n'est pas un relevé. Les guides de ce site servent à lire les mots d'une opération. L'habitude est la même : ouvrez ce que vous vouliez ouvrir, pas ce qu'un e-mail vous a dit d'ouvrir.

8. Faites le ménage dans les sessions MT5 et TradingView

MetaTrader 5 conserve un mot de passe sur l'ordinateur si vous laissez cochée la case « Save account information » à la connexion. C'est pratique sur une machine que vous êtes seul à utiliser, et c'est une clé stockée sur une machine que vous partagez ou que vous pourriez vendre. Décochez-la sur tout ordinateur qui n'est pas à vous seul. Quand vous vous éloignez, fermez le terminal, et ne laissez pas un graphique en cours sur un bureau que d'autres peuvent toucher.

MT5 a deux mots de passe. Le mot de passe principal peut passer et modifier des ordres. Le mot de passe investisseur peut seulement regarder. Si vous partagez un jour une vue du compte avec quelqu'un qui ne doit pas trader, c'est le mot de passe investisseur qu'il faut donner, et vous le changez quand ce besoin prend fin. N'envoyez jamais le mot de passe principal par e-mail ou par messagerie. S'il a déjà été envoyé, changez-le, puis supprimez le message.

Comparez le nom du serveur avec celui de l'espace client du courtier, la page que vous avez ouverte vous-même. Un terminal configuré à partir d'un e-mail peut pointer vers un serveur que vous n'avez pas choisi. Dans le Navigateur, supprimez les comptes que vous n'utilisez plus, pour qu'un ancien accès enregistré ne soit pas rouvert par habitude.

Sur une machine distante, un serveur virtuel ou un PC de réserve à la maison, le terminal est une session ouverte tant qu'il reste ouvert. Utilisez une machine que vous contrôlez, avec son propre verrouillage d'écran, et fermez le terminal une fois le travail terminé.

TradingView, et tout autre site de graphiques lié à la même adresse e-mail, a une liste des sessions ouvertes dans les paramètres du compte. Ouvrez-la. Déconnectez chaque session que vous ne reconnaissez pas, et déconnectez les téléphones que vous n'avez plus. Changez ensuite le mot de passe si quelque chose dans cette liste vous a surpris. Faites-le chaque fois que vous achetez ou vendez un appareil, pas seulement après une frayeur.

9. Évitez le Wi-Fi public, ou utilisez un VPN

Le réseau d'un café, d'un aéroport ou d'un hôtel est un réseau que vous ne contrôlez pas. La personne qui le gère, ou quelqu'un d'autre connecté, peut voir quels sites vous ouvrez et peut placer une fausse page sur votre chemin. L'habitude simple la plus sûre est de l'éviter pour les accès au courtier et à la plateforme d'échange. Utilisez le partage de connexion de votre propre téléphone, ou attendez d'être sur votre connexion à domicile.

Si vous devez quand même utiliser ce réseau, activez un VPN avant d'ouvrir le courtier, et vérifiez qu'il est connecté. Un VPN chiffre le trajet entre votre ordinateur et le fournisseur du VPN, de sorte que le café ne peut pas lire les pages. Il ne rend pas solide un mot de passe faible, et il n'arrête pas une page d'hameçonnage que vous ouvrez de vous-même. C'est une étape, la numéro 9, pas un substitut aux onze autres.

NordVPNPartner est un lien d'affiliation vers un VPN que vous pouvez utiliser sur ce type de réseau. Cette page ne classe pas les VPN et ne rend compte d'aucun essai de l'un d'eux. Une vue plus large se trouve dans Le meilleur VPN pour les traders, et les notes sur le produit sont dans l'avis sur NordVPN. Les prix et les conditions changent. Lisez-les sur le site du fournisseur avant de payer.

Sur votre propre connexion à domicile, un VPN est facultatif. Tenez le routeur à jour, et n'utilisez pas comme mot de passe d'administration le mot de passe Wi-Fi imprimé sur une carte pour les invités. Un réseau invité, si le routeur en propose un, tient les visiteurs à l'écart des machines depuis lesquelles vous tradez.

10. Ne donnez aucun droit de retrait aux clés API

Une clé API est un mot de passe pour un programme. Un journal de trading, une passerelle de graphiques ou un bot l'utilise pour lire le compte et, si vous le permettez, pour envoyer des ordres. L'autorisation dangereuse est le retrait. Une clé qui peut retirer peut déplacer des fonds vers n'importe quelle adresse que demande le programme, ou quiconque a copié la clé.

Ne créez une clé que lorsqu'un outil que vous avez choisi en a besoin. Sur l'écran de création, laissez l'autorisation de retrait désactivée. Si le site propose aussi un choix entre « lecture » et « trading », prenez le plus restreint qui fait l'affaire. Un journal a besoin de lire. Il n'a pas besoin de trader. Si l'écran ne permet pas de refuser les retraits, ne créez pas la clé.

Si la plateforme peut limiter une clé à une adresse IP, indiquez l'adresse de la machine qui l'utilisera. Une clé copiée échoue alors depuis n'importe où ailleurs. Utilisez une clé par outil. Quand vous cessez d'utiliser un outil, supprimez cette clé et laissez les autres. Renouvelez une clé apparue dans une capture d'écran, une conversation, un ticket de support ou un carnet de notes synchronisé. Supprimer l'image ne supprime pas les copies. Supprimer la clé, si.

Rangez les clés ailleurs que vos notes de tous les jours. Le gestionnaire de mots de passe, ou le secret enregistré de l'outil lui-même, suffit. Ne collez pas une clé dans un e-mail à vous-même « en guise de sauvegarde ». Cet e-mail est une seconde copie sans aucune des limites que vous venez de fixer.

11. Activez les alertes de connexion et lisez-les

Une alerte n'est utile que si elle arrive là où vous la verrez, et seulement si vous réagissez à celles que vous n'attendiez pas. Chez chaque courtier, sur chaque plateforme d'échange et dans chaque boîte mail, activez les alertes par e-mail ou par notification pour un nouvel appareil, une nouvelle adresse IP, un mot de passe erroné et une modification de la liste de retraits. Envoyez ces alertes à la boîte séparée de l'étape 4, celle qui a déjà une application d'authentification. Une alerte qui arrive dans une boîte sans second facteur peut être supprimée par la personne même qui l'a provoquée.

Lisez-les. Un coup d'œil hebdomadaire ne suffit pas le jour où en arrive une que vous ne reconnaissez pas. Quand une alerte de connexion indique une ville ou un appareil que vous n'avez pas utilisé, traitez-la comme réelle. N'attendez pas de voir si de l'argent bouge. Suivez les actions de la section suivante.

Activez aussi l'alerte pour une nouvelle adresse de retrait et pour un changement de mot de passe. Ces deux-là vous disent que les réglages ont été touchés, pas seulement l'accès. Si la plateforme propose une alerte désactivée par défaut, activez-la pendant que vous êtes déjà sur la page de sécurité pour les autres étapes. Cinq minutes ici font la différence entre apprendre l'existence d'une session et trouver plus tard un compte vide.

12. Rédigez le plan de récupération tant que vous le pouvez

Un plan de récupération est une courte note que vous pouvez suivre quand le téléphone a disparu ou que l'accès semble déjà anormal. Rédigez-le avant ce jour-là. Ce jour-là, vous n'aurez pas envie d'inventer l'ordre.

Gardez-le sur papier, avec le kit d'urgence du gestionnaire de mots de passe, dans un endroit qui n'est pas l'ordinateur portable. Indiquez :

• Où se trouvent les codes de secours, et à quel site appartient chaque série.
• Le nom de l'opérateur, le code du compte et les mots à prononcer : verrouiller les transferts de numéro.
• Chaque courtier et chaque plateforme d'échange, la référence du compte et le canal de support indiqué sur leur propre site, pas un numéro tiré d'un vieil e-mail.
• Quels comptes bancaires et quelles adresses figurent déjà sur la liste blanche, pour qu'un nouvel ajout saute aux yeux.
• Une seconde clé physique, si vous en avez enregistré une, et l'endroit où elle est rangée.

Décidez maintenant de l'ordre des appels. D'abord l'opérateur, pour que le numéro cesse de bouger. Ensuite le courtier et la plateforme d'échange, depuis un appareil de confiance, pour changer les mots de passe, déconnecter les sessions et geler les retraits. Ensuite le fournisseur de la boîte mail, si l'adresse de réinitialisation elle-même est douteuse. Inscrivez cet ordre en haut de la page, sur une ligne que vous pouvez lire sous pression.

Dites à une personne de confiance où se trouve le papier, pas quels sont les mots de passe. Si vous êtes le seul à connaître le tiroir, une clé perdue devient un compte perdu. Relisez la page quand vous changez de courtier ou de téléphone, et datez la relecture. Un plan vieux de trois téléphones vous enverra vers un numéro que vous n'avez plus.

Liste : étape, pourquoi elle compte, temps nécessaire

Utilisez ceci comme liste de travail. Le temps indique la durée de l'étape quand les accès sont déjà sous la main. L'attente chez l'opérateur peut être plus longue. Faites l'étape 1 et l'étape 2 avant de consacrer du temps au reste.

Si une alerte de connexion ne vient pas de vous

Agissez dans cet ordre, depuis un téléphone ou un ordinateur de confiance, sur un réseau de confiance. Un partage de connexion convient. Un café, non.

1. Ouvrez le courtier ou la plateforme d'échange depuis votre propre favori et changez le mot de passe. Si vous ne pouvez pas vous connecter, utilisez la procédure de récupération du site de l'entreprise, pas un lien de l'e-mail d'alerte.
2. Déconnectez toutes les autres sessions, y compris MT5 sur une machine distante et TradingView sur d'anciens téléphones. Retirez tout appareil que le site considère comme de confiance.
3. Vérifiez la liste blanche des retraits et les virements récents. Si une nouvelle adresse ou un nouveau compte bancaire est apparu, supprimez-le et contactez la plateforme au numéro indiqué sur son site.
4. Appelez l'opérateur et verrouillez les transferts de numéro. Si le téléphone est déjà muet, utilisez un autre téléphone et ayez sous la main le code du compte de l'étape 3.
5. Changez le mot de passe de la boîte mail et son second facteur si un e-mail de réinitialisation semble anormal, et vérifiez que l'adresse de récupération est toujours celle choisie à l'étape 4.

Notez ensuite ce qui s'est passé, et l'heure, tant que vous vous en souvenez. Le support vous le demandera. Une fois le compte apaisé, refaites toute étape que vous aviez sautée. Une alerte que vous n'avez pas provoquée, c'est la liste qui vous montre l'étape restée ouverte.

Contenu éducatif, pas un conseil financier. Les prix, frais et offres changent : vérifiez-les sur le site du fournisseur avant de vous inscrire. Le trading de produits à effet de levier comporte un risque élevé de perte, et vous pouvez tout perdre.