La page de gestion des appareils (Device Management) de Binance affiche tous les appareils détenant actuellement une session de connexion active ainsi que l'historique des connexions des 30 derniers jours. C'est une section essentielle à consulter mensuellement pour assurer la sécurité de votre compte. L'action principale consiste à vérifier régulièrement → identifier les appareils inconnus → forcer la déconnexion → modifier le mot de passe. Couplée aux notifications de connexion, cette routine permet de détecter immédiatement toute anomalie. L'accès se fait via le site officiel de Binance dans Centre de sécurité → Gestion des appareils ; sur mobile, le chemin est identique après avoir téléchargé l'App officielle Binance. Cet article détaille le sujet à travers 8 volets : lecture de l'interface, identification IP/géographique, traitement des appareils inconnus, mécanisme de session, stratégie de nettoyage automatique, autocontrôle de type MDM, synchronisation multiplateforme et procédure d'urgence.
I. Interprétation de l'interface de gestion des appareils
Connectez-vous à la version web de Binance → Avatar en haut à droite → Centre de sécurité → Bloc Sécurité du compte → Gestion des appareils. Vous y verrez deux listes :
Appareils connectés actifs (Active Devices)
Chaque ligne affiche :
| Champ | Signification | Exemple |
|---|---|---|
| Appareil | Identification de l'appareil | Chrome 126 on macOS 14.5 |
| Adresse IP | IP lors de la connexion | 203.0.113.42 |
| Localisation | Origine de l'IP | Hong Kong, HK |
| Dernière activité | Heure de la dernière opération | 2026-04-14 14:12 UTC |
| Statut | État actuel | En ligne / Hors ligne |
| Action | Bouton d'opération | Supprimer (Remove) |
Historique des connexions (Login History)
Conserve tous les événements de connexion des 30 derniers jours, avec des colonnes telles que :
| Champ | Description |
|---|---|
| Date | Heure de connexion |
| IP | IP source |
| Appareil | Appareil identifié par l'UA |
| Localisation | Pays + Ville |
| Statut | Succès / Échec |
| Méthode 2FA | Authentificateur / SMS / E-mail |
3 signaux pour identifier une anomalie : une ville où vous n'êtes jamais allé, un navigateur que vous n'utilisez jamais, une connexion à 3 heures du matin.
II. Identification de l'IP et de la localisation géographique
Caractéristiques d'une IP normale
- Correspond aux plages d'adresses de votre fournisseur d'accès local (Orange, SFR, Free, Bouygues, etc.).
- Peut sauter vers une autre ville lors du basculement 4G/5G du téléphone (souvent la capitale régionale).
- Correspond à l'IP de sortie de votre VPN ou proxy si vous en utilisez un.
- Peut afficher l'IP du siège social si vous utilisez le WiFi d'une entreprise.
Caractéristiques d'une IP suspecte
- Sources d'attaques fréquentes comme la Russie, le Vietnam, l'Inde, le Nigeria (sauf si vous y êtes réellement).
- IP de centres de données (IDC) comme AWS, Google Cloud, DigitalOcean, alors que vous n'utilisez jamais de serveur pour vous connecter.
- Nœuds de sortie Tor.
- Sauts entre plusieurs pays sur une courte période (impossibilité physique de déplacement).
Comment vérifier l'origine d'une IP
Vous pouvez vérifier l'origine d'une IP de connexion sur les sites suivants :
https://ipinfo.io/203.0.113.42
https://ip138.com/203.0.113.42
https://ip.sb/?ip=203.0.113.42
Les champs JSON org, country, city, asn permettent une identification rapide. Pour une IP de centre de données, le champ org affichera souvent AS14061 DigitalOcean ou AS16509 Amazon.
III. Procédure de traitement d'un appareil inconnu
Si vous découvrez un appareil suspect, suivez ces 5 étapes :
Étape 1 : Déconnexion forcée immédiate
Cliquez sur Supprimer (Remove) à droite de l'appareil inconnu → Validation 2FA → Confirmer la déconnexion. Le jeton de session (Session Token) de cet appareil devient immédiatement invalide ; même si l'attaquant possède des cookies, il ne pourra plus opérer.
Étape 2 : Modifier le mot de passe
Centre de sécurité → Modifier le mot de passe → Définir un nouveau mot de passe de 12+ caractères → Validation 2FA. Après le changement, tous les appareils (y compris les vôtres) seront déconnectés de force et devront se reconnecter.
Étape 3 : Réinitialiser la 2FA
Centre de sécurité → Désactiver l'Authentificateur → Réassocier immédiatement. Raison : si l'attaquant a pu obtenir votre clé 2FA secrète (scénario rare), il possède toujours la capacité de générer des codes TOTP ; la réinitialisation rend l'ancienne clé caduque.
Étape 4 : Nettoyer les clés API
Gestion API (API Management) → Supprimer toutes les clés API que vous ne reconnaissez pas. Même avec une déconnexion forcée, l'accès via clé API ne dépend pas de la session ; seule la suppression coupe définitivement l'accès.
Étape 5 : Vérifier les actifs
- Portefeuille → Historique des transactions : vérifiez s'il y a des ordres inconnus sur les 7 derniers jours.
- Portefeuille → Historique des retraits : vérifiez s'il y a des adresses inconnues sur les 30 derniers jours.
- Portefeuille → Historique de trading API : vérifiez s'il y a des ordres d'arbitrage à haute fréquence.
- En cas d'anomalie, soumettez immédiatement un ticket au service client pour geler le compte.
IV. Mécanisme de session et validité des jetons
La version web de Binance utilise une solution JWT + Refresh Token :
| Type de jeton | Durée de validité | Lieu de stockage | Mode de révocation |
|---|---|---|---|
| Access Token | ~15 minutes | Cookie (HttpOnly) | Expiration automatique |
| Refresh Token | 30 jours | Cookie (HttpOnly) | Déconnexion via gestion des appareils |
| Clé API | Permanent jusqu'à suppression | Enregistré par l'utilisateur | Suppression via Gestion API |
| WebSocket Token | 60 minutes | Dans la session | Déconnexion |
Une session sans opération pendant 30 jours expire automatiquement. Cependant, un attaquant ayant obtenu un Refresh Token peut maintenir son accès, c'est pourquoi la « Déconnexion via gestion des appareils » est l'action cruciale — elle place le Refresh Token sur liste noire côté serveur.
V. Stratégie de nettoyage automatique
Script d'autocontrôle hebdomadaire (Exemple Python, lecture seule)
import requests
import time
import hmac
import hashlib
API_KEY = os.getenv('BINANCE_API_KEY')
API_SECRET = os.getenv('BINANCE_API_SECRET')
def sign(params):
query = '&'.join([f'{k}={v}' for k, v in params.items()])
sig = hmac.new(API_SECRET.encode(), query.encode(), hashlib.sha256).hexdigest()
return query + '&signature=' + sig
# Consultation de l'historique de connexion des 30 derniers jours (nécessite l'ouverture de cet endpoint via SAPI, ici à titre d'illustration)
params = {'timestamp': int(time.time() * 1000)}
# url = 'https://api.binance.com/sapi/v1/account/login/history'
# resp = requests.get(url, params=sign(params), headers={'X-MBX-APIKEY': API_KEY})
Remarque : Actuellement, Binance ne dispose pas d'une API publique pour lister les appareils. Cet exemple illustre uniquement la méthode de signature pour consulter l'historique via API. La gestion des appareils doit se faire manuellement via le web ou l'application.
Rythme de révision manuelle
| Fréquence | Action |
|---|---|
| Quotidienne | Vérifier que les notifications de connexion par e-mail correspondent à vos accès réels. |
| Hebdomadaire | Consulter une fois les appareils actifs dans la gestion des appareils. |
| Mensuelle | Nettoyer les anciens appareils affichant le statut « Hors ligne ». |
| Trimestrielle | Changer le mot de passe, mettre à jour la sauvegarde 2FA. |
| Annuelle | Réévaluer l'activation d'une clé de sécurité matérielle (YubiKey). |
VI. Liste d'autocontrôle de type MDM
Gérez votre compte comme une entreprise gère ses appareils mobiles avec cette liste :
compte_binance:
email_principal: [email protected]
uid: 123456789
2fa:
type: Google Authenticator
lieu_sauvegarde_cle: 1Password + Coffre-fort
derniere_verification: 2026-04-14
code_anti_phishing: Sky7Whale-FV
liste_blanche_retrait:
active: oui
mode: strict
adresses:
- {coin: BTC, label: Ledger-1, ajoutee: 2026-01-15}
- {coin: USDT-TRC20, label: OKX-Main, ajoutee: 2026-01-20}
appareils:
de_confiance:
- {nom: MacBook Pro M3, plage_ip: 203.0.113.0/24}
- {nom: iPhone 15 Pro, plage_ip: mobile}
derniere_revision: 2026-04-14
cles_api:
- {label: Bot Trading, perms: [spot_read, spot_trade], liste_blanche_ip: [x.x.x.x]}
Enregistrez ce YAML dans 1Password et comparez les champs lors de votre révision trimestrielle.
VII. Synchronisation App et Web
Les données de gestion des appareils sont identiques sur le web et sur l'application, mais les points d'accès diffèrent :
| Interface | Chemin |
|---|---|
| Web | Avatar → Sécurité → Gestion des appareils |
| App iOS | Avatar en haut à gauche → Sécurité → Appareils connectés |
| App Android | Identique à iOS |
| Client PC | Avatar en haut à droite → Security → Devices |
Lorsqu'une session est active sur l'application, la version web l'affichera sous une étiquette du type iPhone 15 Pro · iOS 17.4, permettant une comparaison immédiate.
VIII. Procédure d'urgence
Lorsque vous avez la certitude que votre compte a été piraté :
Étape 1 [0-1 min] Connexion à binance.com → Modifier le mot de passe
Étape 2 [1-3 min] Gestion des appareils → Tout déconnecter de force
Étape 3 [3-5 min] Accès au service client → Demander le gel d'urgence du compte
Étape 4 [5-10 min] Supprimer toutes les clés API
Étape 5 [10-30 min] Vérifier l'historique trading/retraits → Captures d'écran pour preuves
Étape 6 [30-120 min] Soumettre les documents de réclamation + photos d'identité
Étape 7 [2-7 jours] Attendre le traitement manuel par le service client
Une fois le compte gelé, l'attaquant ne pourra plus opérer, même s'il possède encore des clés API ou des jetons.
Questions fréquentes FAQ
Q1 : L'attaquant saura-t-il immédiatement que je l'ai déconnecté de force ?
R : La page du navigateur de l'attaquant renverra une erreur « 401 Unauthorized » lors de sa prochaine requête API, et la plupart des interfaces redirigeront automatiquement vers la page de connexion. Il ne recevra pas de notification push (celles-ci arrivent sur votre compte), votre action est donc « silencieuse » pour lui.
Q2 : Je vois une ville où je n'ai jamais été dans la gestion des appareils, mais l'IP est celle d'un centre de données (IDC), que faire ?
R : Il est fort probable qu'il s'agisse d'un nœud VPN que vous avez utilisé. Vérifiez si vous utilisiez ExpressVPN/NordVPN ou un service similaire à ce moment-là et si vous étiez connecté à un nœud dans cette région. Si vous excluez totalement l'usage d'un VPN, suivez immédiatement la procédure pour appareil inconnu.
Q3 : L'historique des connexions ne garde que 30 jours, est-il possible d'en obtenir un plus long ?
R : Non. La version web de Binance ne propose que 30 jours. Pour des enregistrements plus longs, effectuez des captures d'écran régulières ou remontez vos e-mails de « Notification de connexion » (Gmail les conserve indéfiniment).
Q4 : Après une déconnexion via l'application, les cookies sont-ils toujours valides dans le navigateur ?
R : Non. La déconnexion invalide le Refresh Token côté serveur ; tout ancien jeton détenu par un appareil (y compris un navigateur) sera rejeté lors de la prochaine requête.
Q5 : Si je change de carte SIM sur mon téléphone, la connexion nécessitera-t-elle une nouvelle 2FA ?
R : Oui. Binance identifiera le changement de SIM comme une « nouvelle caractéristique d'appareil » et exigera une nouvelle validation 2FA + e-mail avant d'autoriser la poursuite de l'utilisation. C'est une protection contre le SIM Swapping.
Continuer la lecture : Retournez à la navigation par catégorie et accédez à la section « Sécurité » pour consulter les tutoriels sur les notifications de connexion, la récupération 2FA, etc.