Sécuriser son compte Binance : les six réglages qui comptent vraiment

La plupart des comptes volés ne sont pas « piratés » au sens hollywoodien. Ils sont pris parce qu’un mot de passe a été réutilisé, parce qu’un code SMS a été intercepté, ou parce que la victime a communiqué elle-même un code à quelqu’un qui se présentait comme le support.

Six réglages suffisent à fermer ces portes. Ils prennent vingt minutes et ne coûtent rien.

1. Un mot de passe unique, généré

Un mot de passe réutilisé sur un forum compromis en 2019 peut ouvrir votre compte Binance en 2026. Les fuites de bases de données sont revendues et testées automatiquement sur des milliers de sites.

Ce qui fonctionne : un gestionnaire de mots de passe qui génère 20 caractères aléatoires et les retient à votre place. Ce qui ne fonctionne pas : une variation de votre prénom avec l’année et un « ! ».

Votre e-mail principal mérite le même traitement. Il est la clé de toutes vos récupérations de compte.

2. La double authentification par application, pas par SMS

La double authentification (2FA) ajoute un second facteur : même avec votre mot de passe, un attaquant ne peut pas entrer sans le code temporaire.

Deux méthodes existent :

• Par SMS : pratique, mais vulnérable au SIM swapping — un escroc obtient une nouvelle carte SIM à votre nom auprès de l’opérateur et reçoit vos codes.
• Par application (Google Authenticator, Authy, Microsoft Authenticator) : les codes sont générés hors ligne sur votre appareil, sans passer par le réseau mobile. Nettement plus sûr.

Sur Binance, activez la 2FA par application dans les paramètres de sécurité, puis notez la clé de secours sur papier. Si vous perdez votre téléphone sans cette clé, la récupération passe par le support et peut prendre plusieurs jours.

Le SMS reste utile comme solution de secours, mais il ne doit pas être votre seul facteur.

3. Le code anti-hameçonnage

C’est le réglage le plus souvent ignoré et le plus rentable. Vous choisissez un mot court, que Binance insère dans tous ses e-mails authentiques.

La règle devient simple : un e-mail de Binance sans ce code est un faux, même si l’adresse d’expédition semble correcte, même si la mise en page est parfaite, même s’il annonce un « compte suspendu ».

Les faux e-mails poussent à cliquer vers une page de connexion identique à l’originale, qui capture identifiants et code 2FA. Le code anti-hameçonnage fait échouer cette mise en scène en un coup d’œil.

4. La liste blanche des adresses de retrait

Une fois activée, cette option interdit tout retrait vers une adresse qui n’a pas été enregistrée à l’avance — et l’ajout d’une nouvelle adresse est retardé de plusieurs heures.

Conséquence : même si un attaquant obtient l’accès à votre compte, il ne peut pas immédiatement vider vos fonds vers son propre portefeuille. Le délai vous laisse le temps de réagir et de contacter le support.

5. La revue des appareils et des sessions

Dans les paramètres de sécurité, la plateforme liste les appareils connectés et les sessions actives, avec la date, l’adresse IP approximative et le type d’appareil.

Prenez l’habitude d’y jeter un œil une fois par mois. Une connexion depuis un pays où vous n’êtes jamais allé, ou depuis un appareil que vous ne reconnaissez pas, justifie un changement de mot de passe et une déconnexion de toutes les sessions.

6. Les clés API et les autorisations tierces

Si vous n’utilisez pas d’outil de trading automatisé, vous n’avez aucune raison d’avoir une clé API active. Chaque clé est une porte : elle doit être limitée aux opérations nécessaires, sans droit de retrait, et restreinte à une adresse IP.

Les sites « d’arbitrage automatique » ou de « bots qui rapportent 3 % par jour » qui demandent vos clés API sont, dans la quasi-totalité des cas, des mécanismes de ponction. Une clé API avec droit de retrait, c’est un accès direct à vos fonds.

Ce qui ne protège pas

Cacher son solde. Utile socialement, sans effet technique.

Changer de mot de passe tous les mois. Les recommandations actuelles privilégient un mot de passe long et unique plutôt qu’un changement frénétique.

Compter sur le support pour annuler un virement. Une transaction blockchain confirmée est irréversible. La liste blanche et la 2FA sont vos seules vraies protections.

Penser que les petits montants ne tentent personne. Les attaques sont automatisées et ne visent pas une personne : elles scannent des milliers de comptes.

En cas de compromission suspectée

1. Changez le mot de passe depuis un appareil propre.
2. Révoquez toutes les sessions actives.
3. Désactivez puis réactivez la 2FA avec un nouvel appareil.
4. Vérifiez la liste blanche et les clés API.
5. Contactez le support officiel depuis l’application ou le site, jamais via un lien reçu par message.

La vitesse compte plus que la perfection : chaque minute passée à hésiter est une minute offerte à l’attaquant.

Pour aller plus loin sur le second facteur, lisez 2FA par SMS ou par application, et sur la vérification d’identité, KYC : pourquoi une pièce d’identité.