Architectures SaaS en Cloud Mutualisé (Multi-Tenant) vs Serveurs Dédiés et Auto-Hébergement (VPS) : Enjeux de Sécurité des Clés API

En architecture des systèmes d’information, le modèle SaaS mutualisé (multi-tenant) consiste à héberger des milliers de comptes clients sur une même infrastructure applicative et de bases de données partagée. Ce modèle est adopté par la majorité des plateformes d’automatisation en ligne telles que 3Commas, Bitsgap ou Cryptohopper, car il permet à l’éditeur de mutualiser les coûts de serveurs et de proposer une inscription immédiate via un simple navigateur web.

Cependant, dans le domaine de l’automatisation d’ordres financiers, le fonctionnement d’un service distant requiert le stockage des clés API (API Key et API Secret) permettant de signer cryptographiquement les requêtes envoyées aux bourses d’échange. Dans une architecture multi-locataires, les clés API de l’ensemble des abonnés sont regroupées dans des bases de données centralisées ou des gestionnaires de secrets partagés.

Du point de vue de la sécurité offensive, cette topologie crée un point de concentration critique : la valeur de la cible pour un attaquant externe ou interne croît proportionnellement au nombre total d’utilisateurs partageant la même infrastructure logique. Par ailleurs, les requêtes sortantes proviennent de plages d’adresses IP partagées entre plusieurs utilisateurs, ce qui réduit la granularité du filtrage réseau individuel.

La matérialisation du risque inhérent aux bases de données de clés API centralisées a été documentée de manière factuelle en décembre 2022 lors de l’incident de sécurité ayant touché la plateforme 3Commas. À la suite de signalements d’exécutions d’ordres non autorisés (notamment par contrepartie croisée sur des paires à faible liquidité) observés dès l’automne 2022, une fuite massive d’identifiants API a été publiée en ligne fin décembre 2022.

Le 28 décembre 2022, le PDG de 3Commas, Yuriy Sorokin, a officiellement confirmé l’authenticité des données divulguées et demandé aux plateformes d’échange partenaires (dont Binance, KuCoin et Coinbase) de révoquer d’urgence les clés concernées. Selon les analyses publiées le même jour par les rédactions spécialisées BleepingComputer et The Block, l’incident a compromis environ 100 000 clés API d’utilisateurs.

À la suite de cet événement historique, 3Commas a publié une foire aux questions officielle dédiée à l’incident et déployé de nouveaux mécanismes d’authentification (tels que la signature par clé publique/privée asymétrique et les connexions Fast Connect). Sur le plan de l’ingénierie pure, ce précédent demeure le cas d’école de référence démontrant la différence structurelle entre une base de données multi-locataires centralisant cent mille clés et une enclave serveur strictement isolée par utilisateur.

Pour éviter le stockage de leurs clés API dans un Cloud mutualisé, certains opérateurs se tournent vers des logiciels exécutables à installer soi-même, dont le représentant historique est Gunbot. La grille tarifaire officielle de Gunbot propose des licences logicielles à paiement unique : Gunbot Standard à 599 $, Gunbot Pro à 899 $ et Gunbot Ultimate à 1 499 $. Toutefois, ce tarif couvre uniquement le fichier binaire exécutable.

Étant donné qu’un système de trading continu 24h/24 et 7j/7 ne peut pas dépendre d’un ordinateur domestique soumis aux coupures électriques, aux mises à jour de système d’exploitation ou aux déconnexions Internet, l’utilisateur de Gunbot doit louer à ses frais un serveur privé virtuel (VPS) externe (environ 20 $/mois, soit 240 $/an et 720 $ sur 3 ans). Surtout, la responsabilité complète de l’administration système Linux, de la configuration du pare-feu, du durcissement SSH, des certificats SSL et de la relance du processus en cas d’arrêt incombe intégralement à l’acheteur.

À l’opposé, lorsqu’un utilisateur souhaite bénéficier d’un serveur dédié déjà administré et maintenu par l’éditeur sans avoir à gérer l’infrastructure en ligne de commande, l’offre correspondante sur le marché SaaS grand public est le plan Coinrule Pro / Fund, facturé 749 $/mois (soit 8 988 $/an et 26 964 $ sur 3 ans). Le marché se divise ainsi traditionnellement entre le Cloud mutualisé exposé à la centralisation, l’auto-hébergement exigeant des compétences d’administrateur système, et les serveurs dédiés gérés facturés près de 9 000 $ par an.