API Bancaires et Portfolio Trackers : Pourquoi Connecter Votre Broker Est Plus Risqué que Vous ne Pensez
Points Clés
▸Les portfolio trackers utilisant des API bancaires détiennent des identifiants persistants pouvant récupérer l'intégralité de votre historique financier à tout moment.
▸L'accès en lecture seule signifie néanmoins que l'historique complet des transactions est stocké indéfiniment sur un serveur tiers.
▸Les applications gratuites se monétisent souvent via le partage de données avec agrégateurs, annonceurs ou entreprises de données financières.
▸La plupart des investisseurs ont des connexions API oubliées encore actives chez leur broker — auditez et révoquez régulièrement.
▸Seule une architecture sans API (import CSV uniquement) permet d'atteindre la confidentialité by design, pas seulement by policy.
Chaque semaine, des milliers d'investisseurs connectent leurs comptes de courtage à des applications de suivi de portefeuille via des API bancaires ou des tokens Open Banking. La promesse est séduisante : les positions se synchronisent automatiquement, sans saisie manuelle. Mais derrière cette commodité se cachent des autorisations d'accès aux données que la plupart des investisseurs n'ont jamais lues — et qui peuvent exposer bien plus que le simple solde du portefeuille.
Ce guide explique précisément ce que sont les API bancaires, comment les portfolio trackers les utilisent, à quelles données ils peuvent accéder lorsque vous connectez votre broker, et pourquoi une approche sans API est la seule architecture offrant une véritable confidentialité by design.
Que Sont les API Bancaires et Comment les Portfolio Trackers les Utilisent-ils ?
Une API (Application Programming Interface) est un canal standardisé par lequel un logiciel demande des données à un autre. Dans le contexte du suivi de portefeuille, une API bancaire ou de courtage permet à une application externe — le tracker — de lire les données de votre compte directement depuis les serveurs du broker, sans que vous ayez à exporter ou télécharger quoi que ce soit manuellement.
La plupart des portfolio trackers proposant une connectivité broker utilisent l'une de ces trois méthodes :
1. Open Banking (PSD2 en Europe) : un cadre réglementaire obligeant banques et brokers à exposer des API en lecture à des tiers autorisés. Vous vous authentifiez une fois via OAuth, et le tiers reçoit un token d'accès de longue durée lui permettant de récupérer vos données de compte selon un calendrier régulier.
2. Screen scraping via agrégateurs : des services comme Plaid, Salt Edge ou Yapily servent d'intermédiaires. Vous leur confiez vos identifiants broker (ou un token OAuth), et ils récupèrent les données en votre nom, stockant cette connexion dans leur propre infrastructure.
3. Clés API directes : certains brokers (Interactive Brokers, Degiro, Alpaca) exposent des API développeur. Un tracker peut vous demander de générer une clé API dans votre compte broker et de la coller dans l'application.
Dans les trois cas, le résultat est identique : un tiers détient une accréditation persistante — token ou clé — qu'il peut utiliser pour récupérer vos données financières à tout moment, tant que la connexion reste active.
À Quelles Données un Portfolio Tracker Peut-il Réellement Accéder via une API ?
C'est là que la plupart des investisseurs sont surpris. Ils supposent que le tracker ne voit que ce qu'il affiche — positions et soldes. La réalité dépend de la portée du token OAuth ou de la clé API accordée, et beaucoup d'applications demandent des autorisations plus larges que strictement nécessaire.
Champs de données couramment accessibles via les API de courtage :
— Toutes les positions actuelles (nom, ISIN, quantité, valeur actuelle)
— Historique complet des transactions (chaque achat, vente, dividende, frais depuis l'ouverture du compte)
— Soldes de trésorerie sur tous les sous-comptes
— Ordres en attente
— Données d'identification personnelles (nom, adresse, date de naissance, identifiant fiscal dans certains cas)
— Coordonnées bancaires liées (IBAN pour les retraits)
— Documents KYC dans certaines intégrations
L'historique des transactions est l'élément le plus sensible. Un journal complet révèle non seulement ce que vous détenez aujourd'hui, mais chaque décision financière prise au fil des années. Ce sont des données comportementales financières — bien plus précieuses pour les annonceurs, les data brokers et les assureurs qu'un simple instantané du solde.
Les tokens en lecture seule semblent sûrs. Mais "lecture seule" signifie lecture de vos positions — pas que l'application ne peut pas stocker, traiter, vendre ou partager ces données indéfiniment.
Quels Sont les Vrais Risques pour la Vie Privée en Accordant un Accès API ?
Les risques se répartissent en quatre catégories distinctes :
1. Courtage de données et partage avec des tiers
De nombreuses applications gratuites de suivi de portefeuille se monétisent via les données. L'historique des transactions, les données de position et les schémas comportementaux sont vendus ou partagés avec des réseaux publicitaires, des agrégateurs de données financières ou des assureurs. Même les données anonymisées issues de vos transactions peuvent être utilisées pour construire des profils affectant le scoring crédit, les primes d'assurance ou la publicité ciblée.
2. Exposition aux violations au niveau de l'agrégateur
Si vous avez connecté votre broker via un agrégateur (Plaid, Salt Edge, etc.), vos identifiants ou token sont stockés dans l'infrastructure de cet agrégateur. Une violation chez l'agrégateur expose toutes les connexions de toutes les applications qui l'utilisent. Plaid a réglé un recours collectif de 58 millions de dollars en 2022 pour stockage non autorisé d'identifiants.
3. Persistance des tokens et connexions oubliées
Les tokens OAuth accordés aux applications restent généralement valides jusqu'à révocation explicite. Les investisseurs qui cessent d'utiliser une application pensent rarement à révoquer le token. Une application abandonnée — ou rachetée, renommée, ou ayant modifié sa politique de confidentialité — peut encore détenir des identifiants valides des mois ou années après la dernière utilisation.
4. Extension de portée et demandes de réautorisation
Certaines applications demandent périodiquement aux utilisateurs de se réauthentifier ou d'étendre les autorisations. Un tracker initialement limité à la lecture des positions peut ensuite demander l'historique des transactions, les comptes liés ou d'autres portées élargies — présenté comme une amélioration de commodité, rarement comme un compromis sur la vie privée.
Comment Vérifier et Révoquer les Connexions API Actives à Votre Broker ?
La plupart des investisseurs ignorent combien de connexions API actives ils ont. Voici comment auditer et nettoyer :
Pour les connexions PSD2/Open Banking :
— Connectez-vous aux paramètres de compte de votre broker ou banque
— Recherchez "Applications connectées", "Accès tiers", "Autorisations Open Banking" ou "Accès API"
— Révoquez toute connexion non utilisée activement
— Programmez un rappel calendrier pour vérifier les connexions tous les 6 mois
Pour les clés API directes (Interactive Brokers, Degiro, etc.) :
— Accédez à la section de gestion des API de votre compte broker
— Listez toutes les clés actives et leurs dates de création
— Supprimez les clés des applications que vous n'utilisez plus
— Faites tourner les clés des applications encore utilisées au moins une fois par an
Pour les connexions via agrégateur (Plaid, Salt Edge, etc.) :
— Vérifiez les paramètres de confidentialité de chaque application de portefeuille utilisée
— Utilisez le portail propre de l'agrégateur (ex. my.plaid.com) pour visualiser et déconnecter les connexions stockées
— Soumettez une demande de suppression RGPD aux applications que vous n'utilisez plus
La vérité inconfortable : la plupart des investisseurs ont entre 3 et 8 connexions tierces actives à leurs comptes financiers, dont la plupart ont été oubliées.
Pourquoi DonkyCapital N'Utilise Aucune Connexion API — et Pourquoi C'est Important
DonkyCapital a été conçu dès le départ sans aucune connectivité API avec les brokers. Ce n'est pas une limitation — c'est un choix architectural délibéré offrant une véritable confidentialité by design plutôt que by policy.
La différence est fondamentale. "Confidentialité by policy" signifie qu'une entreprise promet de ne pas abuser de vos données — mais doit d'abord les collecter. "Confidentialité by design" signifie que les données n'atteignent jamais les serveurs de l'entreprise, car l'architecture ne le requiert pas.
Comment fonctionne DonkyCapital :
— Vous importez votre portefeuille via fichier CSV (la plupart des brokers en exportent un en quelques secondes) ou saisie manuelle
— Les données résident dans votre compte DonkyCapital — sans jamais se connecter à votre broker
— Nous ne détenons jamais de clés API, de tokens OAuth ou d'identifiants de vos comptes de courtage
— Nous ne pouvons pas récupérer de nouvelles données depuis votre broker sans votre action explicite
— Une violation de l'infrastructure de DonkyCapital ne peut exposer vos identifiants broker, car nous ne les avons jamais
Concrètement :
— Votre compte broker n'est jamais exposé à un tiers stockant des identifiants
— Aucun token persistant ne survit à votre utilisation du service
— Si vous cessez d'utiliser DonkyCapital, il n'y a rien à révoquer chez votre broker
— L'historique de vos transactions ne transite pas par un réseau d'agrégateurs
Le compromis est réel : vous devez réimporter manuellement lors de nouveaux trades. Pour la plupart des investisseurs long terme qui tradent rarement, c'est une opération de 2 minutes toutes les quelques semaines — un faible prix pour une architecture fondamentalement plus privée.
Questions Fréquentes sur les API Bancaires et la Confidentialité
L'Open Banking est-il sûr pour le suivi de portefeuille ?
L'Open Banking sous PSD2 est un cadre réglementé avec des normes techniques solides — le risque ne vient pas de la réglementation elle-même, mais de ce que les tiers autorisés font des données une fois reçues. Une application peut être conforme PSD2 tout en vendant vos données de transaction à des annonceurs.
Quelle est la différence entre accès API en lecture seule et accès complet ?
L'accès en lecture seule permet à l'application de récupérer vos données de compte mais ne peut pas passer d'ordres ni déplacer des fonds. L'accès complet peut inclure des autorisations de trading et de retrait. Pour les portfolio trackers, la lecture seule est la norme — mais signifie néanmoins que l'intégralité de votre historique financier est stockée indéfiniment sur un serveur tiers.
Une application de portefeuille peut-elle vendre mes données financières ?
Oui, sauf interdiction explicite dans la politique de confidentialité. De nombreuses applications gratuites se monétisent via le partage de données avec des entreprises de données financières, des assureurs ou des réseaux publicitaires. Lisez toujours la section partage des données de la politique de confidentialité avant de connecter votre broker.
Que se passe-t-il si une application de portefeuille ferme ou est rachetée ?
Lors d'une acquisition, les actifs de données — y compris les données financières des utilisateurs — sont généralement transférés à l'acquéreur. Les tokens OAuth actifs restent valides chez votre broker jusqu'à révocation manuelle — la fermeture de l'application ne révoque pas automatiquement la connexion.
Comment savoir si un portfolio tracker utilise mes données à des fins publicitaires ?
Lisez les sections "Partage des données", "Tiers" et "Utilisation de vos données" de la politique de confidentialité — pas le résumé marketing. Cherchez des termes comme "partenaires", "annonceurs", "fournisseurs d'analyses" ou "sociétés affiliées". Si l'application est gratuite, demandez-vous comment elle gagne de l'argent.
L'import CSV est-il vraiment plus privé que la connexion API ?
Oui. Un import CSV signifie que vous envoyez un instantané de vos données à un moment précis — le tracker ne détient pas d'identifiants permanents vers votre broker. Si vous cessez d'utiliser le service, il n'y a rien à révoquer et aucune connexion active. C'est le fondement de la confidentialité by design.
Qu'est-ce que le droit à l'effacement RGPD et s'applique-t-il aux apps de portefeuille ?
En vertu de l'Article 17 du RGPD, les résidents UE ont le droit de demander la suppression de leurs données personnelles auprès de toute entreprise les traitant. Cela s'applique aux applications de suivi de portefeuille opérant dans ou ciblant l'UE. L'entreprise doit répondre dans les 30 jours.
Suivez Votre Portefeuille Sans Connecter Votre Broker
DonkyCapital offre des analyses de portefeuille professionnelles via import CSV — aucune clé API, aucun token OAuth, aucun identifiant broker sur nos serveurs. Vos données restent les vôtres.
