Comment activer le 2FA et les clés matérielles sur Kraken pour une sécurité maximale ? (Sécurité du compte)

Comprendre l'architecture 2FA de Kraken

1. Kraken applique une authentification obligatoire à deux facteurs pour toutes les actions du compte au-delà de la visualisation de base. La plate-forme prend en charge les authentificateurs basés sur TOTP, les SMS et les e-mails comme facteurs secondaires, mais seul TOTP est recommandé pour une utilisation en production.

2. Contrairement à de nombreux échanges, Kraken n'autorise pas les SMS comme méthode 2FA autonome lors d'opérations à haut risque telles que les retraits ou la création de clés API. Il sert uniquement de canal de récupération de secours.

3. Le système utilise des mots de passe à usage unique basés sur le temps, conformes à la RFC 6238, avec des intervalles de 30 secondes et un hachage SHA-1. Chaque code est lié cryptographiquement à la graine secrète unique de l'utilisateur stockée exclusivement sur les HSM sécurisés de Kraken.

4. Les utilisateurs doivent effectuer une vérification d'identité (KYC niveau 2) avant d'activer les clés de sécurité matérielles. Cela garantit que l’attestation biométrique et basée sur des documents précède la liaison du jeton physique.

5. L'interface 2FA de Kraken sépare la vérification de connexion de la signature de transaction, ce qui signifie que les confirmations de retrait nécessitent une signature cryptographique supplémentaire distincte de l'authentification de session initiale.

Configuration étape par étape de Google Authenticator

1. Connectez-vous à Kraken via le navigateur officiel ou l'application de bureau, et non via le Web mobile. Accédez à Paramètres → Sécurité → Authentification à deux facteurs.

2. Cliquez sur « Activer l'application Authenticator » et scannez le code QR affiché à l'aide de Google Authenticator, Authy ou Microsoft Authenticator. Ne sautez pas l’étape de sauvegarde manuelle.

3. Entrez le code à six chiffres généré par l'application dans le champ de vérification de Kraken. Un message de réussite apparaît uniquement après que Kraken ait validé la sortie HMAC-SHA1 par rapport à son compteur interne synchronisé dans le temps.

4. Téléchargez et imprimez immédiatement la phrase de récupération de 16 mots affichée à l'écran. Stockez-le hors ligne : Kraken ne conserve pas cette phrase et ne peut pas non plus la régénérer.

5. Désactivez les options SMS et email 2FA dans le même menu. Ceux-ci restent visibles mais sont grisés une fois que TOTP est actif, empêchant ainsi un retour accidentel.

Processus d'intégration des clés de sécurité matérielles

1. Insérez votre appareil compatible FIDO2 (YubiKey 5Ci, SoloKeys, Nitrokey FIDO2) dans un port USB-C ou NFC avant de lancer la configuration.

2. Dans Paramètres → Sécurité → Clés de sécurité matérielles, cliquez sur « Ajouter une nouvelle clé ». Kraken lance le flux d'enregistrement WebAuthn avec l'ID RP « kraken.com ».

3. Appuyez sur la touche lorsque vous y êtes invité. L'appareil génère une paire de clés ECDSA P-256 ; la clé publique est envoyée à Kraken, tandis que la clé privée ne quitte jamais le matériel.

4. Attribuez une étiquette (par exemple, « Work Laptop ») et confirmez l'enregistrement. Kraken stocke uniquement l'identifiant d'identification, le hachage de la déclaration d'attestation et le type de clé, et non la clé publique complète.

5. Activez « Exiger une clé matérielle pour les retraits » sous Options de sécurité avancées. Cela oblige U2F à répondre au défi pour chaque transfert crypto ou fiat dépassant 500 $.

Configuration du verrouillage des paramètres globaux (GSL)

1. GSL est le mécanisme exclusif de verrouillage de compte de Kraken. Il restreint toutes les actions sensibles, y compris les modifications de mot de passe, les réinitialisations 2FA et les mises à jour par courrier électronique, aux plages IP pré-approuvées.

2. Accédez à GSL via Paramètres → Sécurité → Verrouillage des paramètres globaux. Ajoutez jusqu'à cinq sous-réseaux IPv4/IPv6 en liste blanche en utilisant la notation CIDR (par exemple, 2001:db8::/32).

3. Chaque entrée de la liste blanche nécessite une confirmation via TOTP et la signature de clé matérielle. Aucune exception n’existe : même le support de Kraken ne peut pas outrepasser cela.

4. GSL bloque les nouvelles connexions d'appareils en dehors des réseaux sur liste blanche, même si des codes 2FA valides sont fournis. Un temps de recharge de 72 heures s'applique après toute modification de GSL.

5. La liste blanche des adresses de retrait fonctionne de manière indépendante mais s'intègre à GSL : seules les adresses ajoutées à partir des adresses IP sur la liste blanche apparaissent dans la liste déroulante de la liste approuvée.

Foire aux questions

Q1 : Puis-je utiliser plusieurs clés matérielles simultanément ? Oui. Kraken autorise jusqu'à trois appareils FIDO2 enregistrés par compte. Chaque touche fonctionne indépendamment : la révocation de l’une n’affecte pas les autres.

Q2 : Que se passe-t-il si ma YubiKey est physiquement endommagée ? Vous devez utiliser votre phrase de récupération imprimée de 16 mots pour désactiver toutes les clés matérielles et en réinscrire de nouvelles. Kraken ne stocke pas les métadonnées clés qui permettraient la désactivation à distance.

Q3 : Kraken prend-il en charge les clés d'accès au lieu des clés matérielles ? Non. Depuis avril 2026, Kraken implémente uniquement les normes FIDO2 WebAuthn. La fonctionnalité de clé d'accès (WebAuthn + couche de synchronisation) n'est toujours pas prise en charge en raison des exigences d'isolation cryptographique.

Q4 : Puis-je retirer des fonds sans clé matérielle si GSL est activé ? Non. Lorsque GSL est actif et que « Exiger une clé matérielle pour les retraits » est activé, l'assertion WebAuthn ne peut pas être contournée, même avec un TOTP et un mot de passe corrects.