Sécurité

Clés API réservées au trading avec retraits désactivés, chiffrement au repos et en transit, clés de portefeuille en autogarde et 2FA.

Le trading implique de l’argent réel : la sécurité est donc au cœur de la conception de Formion.

Vos fonds ne quittent jamais votre plateforme d’échange

Formion est non dépositaire. Il se connecte à votre plateforme d’échange via des clés API et passe uniquement des ordres pour votre compte. Lorsque les retraits sont désactivés sur la clé, personne — Formion compris — ne peut transférer de fonds hors de la plateforme. Vos fonds restent à tout moment sur votre propre plateforme d’échange ou dans votre propre portefeuille. Formion Wallet est en autogarde : vous seul détenez sa clé. Exception — Dossier Autopilot : il utilise un portefeuille de trading automatique distinct que vous approvisionnez ; sa clé est détenue par le service de signature de Formion, et les retraits sont uniquement destinés à votre portefeuille vérifié. Le trading automatique peut entraîner des pertes, y compris la totalité du solde du portefeuille de trading automatique. Bêta sur invitation uniquement : max $1,000 par utilisateur, $10,000 au total ; confirmation des risques en 7 points avant toute opération (phase expérimentale).

Utilisez des clés API réservées au trading (activez le trading ; laissez les retraits désactivés).
Lors de la connexion, ajoutez la liste blanche d’adresses IP de Formion à votre clé — voir Comment démarrer — Connexion API.

Chiffrement

Toutes les clés API, les secrets et les identifiants sensibles sont chiffrés au repos avec AES-256-GCM.
Le trafic est chiffré en transit (TLS).
La connexion par portefeuille dans le navigateur est en lecture seule et ne demande jamais votre clé. Une clé privée n’est nécessaire que si vous souhaitez que Formion signe des transactions DEX pour vous ; elle est chiffrée avec AES-256-GCM et n’est plus jamais affichée. Utilisez un portefeuille dédié au trading avec des fonds limités.

Protection du compte

Tous ces paramètres se trouvent dans Profil → Sécurité sur formion.ai :

Protection contre les bots — Cloudflare Turnstile vérifie tous les parcours de connexion et d’inscription pour bloquer les inscriptions automatisées.
Authentification à deux facteurs (2FA) — codes d’application d’authentification, requis à chaque connexion (mot de passe, Google ou Telegram) une fois la fonction activée, avec des codes de secours à usage unique.
Sessions actives — consultez tous les appareils connectés ; révoquez une session ou déconnectez toutes les autres.
Mot de passe de trading — un second mot de passe qui confirme les ordres manuels et déverrouille le trading automatique FORA ; il peut aussi être exigé à la connexion.
Alertes de sécurité — e-mails facultatifs à chaque nouvelle connexion et lors d’un accès depuis un nouveau lieu.
E-mail de récupération — une adresse de secours vérifiée. L’activité de votre compte est répertoriée dans Profil → Activité.

Utilisez votre propre clé (BYOK)

Lorsque vous connectez vos propres clés de fournisseur d’IA, elles sont stockées chiffrées au repos avec AES-256-GCM et utilisées uniquement pour vos requêtes IA (sur Institutional, elles peuvent être partagées avec votre équipe).

Bonnes pratiques

Gardez l’autorisation de retrait des clés API DÉSACTIVÉE.
Utilisez un sous-compte par bot lorsque votre plateforme d’échange le permet.
Activez la 2FA et utilisez un mot de passe fort et unique.
Révoquez une clé sur votre plateforme d’échange à tout moment — Formion ne pourra plus l’utiliser pour trader.