Pourquoi nous ne vous demanderons jamais vos identifiants de courtier

Beaucoup d'applications de portefeuille commencent par la même demande : connectez votre courtier. Confiez vos identifiants ou un accès OAuth, et vos opérations se synchronisent toutes seules. Pratique. Il vaut tout de même la peine d'être honnête sur ce que l'on cède en échange.

Ce n'est pas une inquiétude marginale. Pour beaucoup de gens, le compte derrière cet identifiant abrite la plus grosse somme d'argent qu'ils contrôleront jamais en dehors de leur logement. La décision d'y brancher une application tierce mérite plus de réflexion que les deux secondes que lui accorde l'écran d'inscription. Voici donc la version longue : ce que « connecter » implique réellement, à quoi ressemblent les pannes, et pourquoi nous avons bâti BullBenchmark autour d'un mécanisme plus terne et plus sûr.

Ce que veut dire « connectez votre courtier »

Dans le meilleur des cas, c'est un lien OAuth en lecture seule passant par un agrégateur — une entreprise de plus dans la chaîne, avec accès à l'intégralité de votre vie financière. Dans le pire des cas (encore courant), c'est du screen scraping : le service se connecte à votre place, avec vos véritables identifiants stockés sur ses serveurs. Chez certains courtiers, les conditions générales annulent vos protections si vous partagez vos identifiants. Les gens se connectent quand même, parce que le bouton est là et que l'autre solution a des airs de travail.

Il est utile de détailler ces deux formules, car ce sont des bêtes très différentes portant le même bouton.

L'OAuth, bien fait, est la version respectable. Vous vous connectez sur la page du courtier lui-même, le courtier délivre un jeton à l'application, et ce jeton est délimité : lecture seule, révocable, et il ne contient jamais votre mot de passe. C'est un mécanisme éprouvé, et il vaut réellement mieux que l'alternative. Mais « mieux » travaille discrètement dans cette phrase. Un jeton en lecture seule expose tout de même l'historique de vos positions, la valeur de votre compte et votre comportement d'investisseur aux serveurs d'une autre entreprise, en continu, aussi longtemps que vit le jeton. La lecture seule limite les actions, pas l'information.

Le screen scraping est la version que personne ne met dans sa brochure. L'application demande vos véritables identifiant et mot de passe, les stocke, et se connecte périodiquement en se faisant passer pour vous. Il n'y a aucune délimitation, puisque le courtier ignore que cela se produit ; techniquement, tout ce que vous pouvez faire une fois connecté, le service peut le faire aussi. Et comme vous avez remis les identifiants volontairement, la paperasse a tendance à laisser les conséquences de votre côté de la table.

L'agrégateur au milieu

La plupart des applications de suivi ne construisent pas elles-mêmes les connexions aux courtiers. Elles les louent à un agrégateur, une entreprise dont tout le métier consiste à entretenir des tuyaux vers des centaines d'établissements financiers. C'est une ingénierie rationnelle et un arrangement de confiance embarrassant. Votre relation est avec l'application ; vos données transitent par une société que vous n'avez jamais évaluée, sous une politique de confidentialité que vous n'avez jamais lue, conservées pendant une durée que vous ne maîtrisez pas. Chaque base de données supplémentaire contenant une image complète de votre patrimoine est un endroit de plus par lequel cette image peut fuir.

Rien de tout cela ne suppose la mauvaise foi de quiconque. Il suffit du taux ordinaire de fuites, de rachats et de virages discrets de modèle économique que connaissent les entreprises de logiciel, appliqué à un jeu de données que vous préféreriez garder privé. Quand une application de listes de tâches fuit, vous perdez votre liste de courses. Quand un agrégateur financier fuit, quelqu'un obtient un relevé bien rangé de ce que vous possédez et de l'endroit où cela se trouve.

Le modèle de menace domestique

Les spécialistes de la sécurité parlent de modèle de menace. La version domestique tient en une question : si cela tourne mal, quel est le rayon de l'explosion ? Avec des identifiants stockés, le rayon, c'est votre compte, tout ce qu'il contient, et peut-être vos protections juridiques. Avec un jeton OAuth, c'est l'intégralité de votre historique financier, mis à jour en continu. Avec un fichier que vous avez téléversé, c'est ce fichier. Voilà tout l'argument, en réalité. Le reste n'est que développement.

Remarquez aussi qui doit continuer à bien se comporter dans la durée. Une connexion en direct est un arrangement permanent : l'application, l'agrégateur et l'API du courtier doivent tous rester sûrs, solvables et honnêtes indéfiniment. Un téléversement de fichier est une opération unique dont vous avez d'abord inspecté le contenu. C'est dans les arrangements permanents que se logent les mauvaises surprises.

L'alternative par fichier

L'alternative n'a rien de glamour : téléchargez le fichier d'export de votre courtier, téléversez-le dans l'outil de suivi. Trente secondes de travail, une fois par mois ou dès que vous avez passé des ordres.

Ce que vous obtenez pour ces trente secondes : rien ne peut agir sur votre compte — un fichier d'export ne peut pas passer d'ordres, ne peut pas retirer d'argent, ne peut même pas se connecter. Vous voyez exactement ce qui est partagé : ouvrez le fichier, c'est une liste de vos opérations, rien de plus. Aucun agrégateur au milieu : une base de données de moins contenant votre patrimoine. Cela fonctionne toujours : plus d'intégration cassée quand votre courtier change son API.

Chacun de ces points mérite une phrase de plus. Un fichier est une donnée inerte : aucun jeton à voler, aucune session à détourner, aucune permission permanente à détourner, puisqu'aucune permission n'a jamais été accordée. La transparence n'est pas une promesse dans un document de politique mais une propriété physique : vous pouvez ouvrir le fichier dans un tableur avant de le téléverser et lire chaque ligne qui va quitter vos mains. Supprimer l'agrégateur retire une partie entière de votre arithmétique de confiance, ce qui est plus rare qu'il n'y paraît dans les applications financières modernes. Et la fiabilité est le bénéfice caché : quiconque a utilisé un outil connecté connaît le rituel de la synchronisation cassée, la boucle de réauthentification, le trou mystérieux dans les données. Les fichiers, eux, ne tombent pas en panne.

« Mais téléverser un fichier, n'est-ce pas aussi partager des données ? »

Si, et il vaut la peine d'être précis sur la nature de ce partage. Un export de transactions décrit ce que vous avez acheté, vendu et reçu en dividendes. C'est exactement l'information dont un outil de suivi a besoin pour calculer vos rendements, et rien de plus. Il ne contient aucun mot de passe, aucune session, aucune capacité d'observer votre compte à l'avenir. Vous choisissez quand le partager, vous pouvez en voir tout le contenu au préalable, et si vous cessez de téléverser, le flux d'information s'arrête avec vous. Comparez avec une connexion en direct, où le comportement par défaut est que les données continuent de circuler jusqu'à ce que vous pensiez à révoquer quelque chose dans une page de réglages où vous ne retournerez jamais. Le modèle par fichier place l'interrupteur entre vos mains, par défaut.

L'inconvénient, honnêtement

Les téléversements manuels signifient que votre tableau de bord est à jour à la date de votre dernier export. Pour un day trader, c'est rédhibitoire. Pour tous ceux qui suivent un investissement de long terme, « exact à mon dernier téléversement, avec des cours actualisés chaque jour » suffit : ce qu'il vous faut, c'est la vérité, pas le tic-tac des cotations.

Il y a un deuxième inconvénient, plus modeste : cela vous demande quelque chose. Une fois par mois, ou après une série d'ordres, vous passez trente secondes à télécharger un fichier et à le déposer dans l'outil. Certains y voient une corvée ; d'autres un rituel utile, l'équivalent comptable de la vérification du niveau d'huile. Si l'écran d'export de votre courtier vous est étranger, nos pas-à-pas pour DeGiro, Interactive Brokers et Trading 212 détaillent les clics.

Une capacité que nous avons refusée

Il existe une différence de fond entre une entreprise qui promet de ne pas abuser d'un accès et une entreprise qui ne l'a jamais obtenu. Les promesses dépendent d'une politique, d'un personnel et du prochain propriétaire de l'entreprise. L'architecture, non. Un outil de suivi qui n'a jamais vu vos identifiants ne peut pas les laisser fuiter, ne peut pas être contraint de s'en servir, et ne peut pas se les faire voler, si mauvaise que soit la semaine de ses ingénieurs.

C'est le marché que passe BullBenchmark, définitivement : des cours de marché quotidiens posés sur l'historique que vous avez téléversé, et nous ne touchons jamais à votre compte parce que nous ne le pouvons pas. La sécurité n'est pas une fonctionnalité que nous avons ajoutée. C'est une capacité que nous avons refusée.

Si la raison pour laquelle vous vouliez un outil de suivi est de savoir si votre pratique d'investisseur fonctionne vraiment, cette réponse se trouve dans votre historique de transactions, pas dans un flux en direct. Commencez par l'indice de référence : battez-vous le S&P 500 ? Le fichier d'export que vous téléchargez aujourd'hui contient tout ce qu'il faut pour le savoir.

La première semaine de BullBenchmark est gratuite, sans carte bancaire : téléversez l'export que vous venez de télécharger et voyez où vous en êtes.

À lire aussi : Le guide d'export DeGiro · Le guide d'export Trading 212