Comment sécuriser votre compte Kraken : un guide de sécurité complet

Application de l'authentification à deux facteurs

1. Kraken demande aux utilisateurs d'activer l'authentification à deux facteurs (2FA) avant d'accéder aux fonctions de compte sensibles telles que les retraits ou la gestion des clés API.

2. Le mot de passe à usage unique basé sur le temps (TOTP) via les applications d'authentification reste la méthode 2FA la plus largement adoptée sur Kraken, offrant une protection plus forte que la vérification par SMS.

3. Les utilisateurs qui désactivent 2FA sans le réactiver dans les 72 heures sont confrontés à une résiliation automatique de la session et à une restriction temporaire des capacités de mouvement de fonds.

4. Le backend de Kraken applique la liaison des appareils pour les enregistrements TOTP : chaque nouvel appareil doit subir un flux d'approbation manuel impliquant une confirmation par e-mail et une validation de l'adresse IP.

5. Les tentatives 2FA infructueuses au-delà de cinq minutes sur dix déclenchent une fenêtre de verrouillage de 15 minutes et lancent une alerte de sécurité automatisée envoyée à l'e-mail de récupération enregistré.

Segmentation des autorisations de clé API

1. Chaque clé API Kraken se voit attribuer des autorisations granulaires au moment de la création : aucun privilège « accès complet » par défaut n'existe.

2. Les autorisations de retrait sont isolées des champs d'application des échanges et des requêtes ; l’activation de la capacité de retrait nécessite une ré-authentification explicite avec 2FA et une confirmation par e-mail.

3. Les clés créées avec la liste blanche IP n'acceptent que les demandes provenant d'adresses IPv4 ou IPv6 pré-approuvées, et Kraken enregistre toutes les tentatives de connexion non sur liste blanche pour examen d'audit.

4. Kraken révoque automatiquement les clés API inactives pendant 90 jours consécutifs et les utilisateurs reçoivent une notification 7 jours avant la désactivation programmée.

5. Chaque clé API affiche des mesures d'utilisation en temps réel, notamment le volume d'appels, la distribution des points de terminaison et l'horodatage de la dernière utilisation, visibles directement dans le tableau de bord Paramètres de sécurité.

Liste blanche des adresses de retrait

1. Kraken impose une liste blanche d'adresses pour toutes les destinations de retrait de crypto-monnaie, nécessitant une confirmation manuelle par e-mail et 2FA avant la première utilisation.

2. Les adresses nouvellement ajoutées entrent dans un état d'attente de 48 heures pendant lequel aucun retrait ne peut être initié. Ce délai s'applique quel que soit le niveau de vérification de l'utilisateur.

3. Les adresses associées à des services de mixage connus ou à des portefeuilles chauds d'échange à haut risque sont signalées par la couche interne de renseignement sur les menaces de Kraken et bloquées de la liste blanche.

4. Les utilisateurs peuvent conserver jusqu'à 25 adresses sur liste blanche par type d'actif, et chaque entrée comprend des métadonnées de géolocalisation dérivées des outils d'analyse de la blockchain.

5. Toute tentative de retrait vers une adresse ne figurant pas sur la liste blanche déclenche le rejet immédiat de la transaction et lance un examen complet de la sécurité du compte par l'équipe Confiance et sécurité de Kraken.

Gestion des sessions et reconnaissance des appareils

1. Kraken utilise des empreintes digitales persistantes sur les appareils à l'aide du rendu du canevas, des paramètres WebGL et des caractéristiques de la pile TLS, sans s'appuyer uniquement sur les cookies ou les chaînes User-Agent.

2. Les sessions simultanées sur plus de trois appareils uniques dans les 24 heures entraînent une réauthentification obligatoire pour toutes les sessions actives, à l'exception de celles marquées comme « de confiance ».

3. Les jetons de session expirent après 30 jours d'inactivité et Kraken ne prend pas en charge la fonctionnalité indéfinie « mémoriser cet appareil » pour les interfaces critiques en matière de sécurité.

4. Les tentatives de connexion à partir d'appareils non reconnus génèrent des notifications push en temps réel sur tous les appareils mobiles précédemment vérifiés liés au compte.

5. Les utilisateurs peuvent afficher et mettre fin à toutes les sessions actives (y compris l'emplacement, le navigateur, la version du système d'exploitation et l'heure de connexion approximative) directement à partir de la page Sécurité du compte.

Phrase de récupération et contrôles de vérification d’identité

1. Kraken ne stocke ni ne traite les phrases de récupération ; la gestion des clés privées reste entièrement hors plateforme et hors du champ opérationnel de Kraken.

2. Les documents de vérification d'identité soumis lors du KYC sont cryptés au repos à l'aide d'AES-256-GCM et déchiffrés uniquement pendant les cycles de révision actifs, non accessibles aux agents du support client.

3. Les modifications apportées aux informations d'identité vérifiées, telles que le nom légal ou l'adresse résidentielle, nécessitent la soumission de documents nouvellement notariés et un délai de traitement de 72 heures.

4. Les changements d'adresse e-mail déclenchent une suspension de 14 jours sur toutes les fonctionnalités de retrait jusqu'à ce que la nouvelle adresse termine la vérification complète et la résolution du défi secondaire.

5. L'équipe d'assistance de Kraken ne demande en aucun cas des informations sur un mot de passe, des codes 2FA ou des phrases de départ, même pendant les procédures de récupération de compte intensifiées.

Foire aux questions

Q : Puis-je utiliser des modules de sécurité matériels (HSM) pour signer les requêtes API Kraken ? Oui. Kraken prend en charge les signatures ECDSA P-256 générées par les HSM certifiés FIPS 140-2 niveau 3 lorsqu'elles sont configurées via le panneau des paramètres de l'API avancée.

Q : Kraken propose-t-il des options de connexion biométriques telles que Face ID ou Touch ID ? Non. Kraken exclut délibérément l'authentification biométrique de son flux de connexion pour éviter de s'appuyer sur des modèles de confiance au niveau de l'appareil qui pourraient contourner les contrôles d'intégrité des sessions cryptographiques.

Q : Que se passe-t-il si mon compte Kraken est accédé à partir d'un nœud de sortie Tor ? Toutes les requêtes provenant de Tor, I2P ou de réseaux proxy anonymisés connus sont rejetées avec HTTP 403 et enregistrées pour une analyse médico-légale : aucune exception n'est accordée, même pour les comptes vérifiés.

Q : Les en-têtes de sécurité de Kraken sont-ils conformes aux normes du projet OWASP Secure Headers ? Oui. Kraken implémente des en-têtes CSP, HSTS, X-Content-Type-Options, Referrer-Policy et Feature-Policy stricts sur tous les points de terminaison Web, audités trimestriellement par des testeurs d'intrusion tiers indépendants.