Avec DAC8 et le CARF, les plateformes crypto collectent vos transactions et les transmettent à l'administration fiscale. Le recours à un assistant fiscal devient donc presque incontournable. Mais lui confier tout votre historique expose aussi vos données : en cas de fuite, elles pourraient révéler l'étendue de votre patrimoine. Voici les critères de sécurité à vérifier, à l'aide de l'exemple de CoinTracking.

Pourquoi la sécurité de vos données fiscales crypto est essentielle

Pour calculer vos plus-values, un assistant fiscal doit connaître vos plateformes, vos wallets, vos achats, vos ventes et la valeur de votre portefeuille. Cette centralisation simplifie nettement la déclaration, mais fournit une cartographie presque complète de votre patrimoine crypto. Associées à votre identité, ces informations ont une valeur évidente pour des personnes malveillantes.

Le risque de fuite est par ailleurs bien réel dans le secteur. Plusieurs acteurs de l'écosystème ont déjà subi des fuites de données clients, avec deux conséquences principales pour les personnes concernées :

  • Le phishing ciblé : un attaquant connaissant vos plateformes crypto et vos avoirs peut se faire passer de façon crédible pour un exchange, un service client ou l'outil lui-même ;
  • Les agressions physiques : les enlèvements et séquestrations visant des détenteurs de cryptomonnaies se multiplient en France, et les fichiers de données revendus permettent aux criminels de localiser facilement des cibles potentielles.

Il reste toutefois difficile pour la plupart des investisseurs de se passer d'un outil. Avec l'échange automatique d'informations entre les plateformes et l'administration fiscale, une déclaration approximative des plus-values crypto devient plus facile à repérer. Pour estimer à l'avance le montant dû sur vos plus-values, vous pouvez utiliser notre simulateur d'impôt crypto.

Le choix d'un assistant fiscal ne dépend donc pas seulement de son prix ou du nombre de plateformes prises en charge : la manière dont il collecte, stocke et protège vos données est tout aussi importante.

Nous présentons ci-dessous les critères de sécurité à vérifier, en prenant l'exemple concret de CoinTracking, assistant fiscal crypto développé en Allemagne depuis 2012 et utilisé par plus de 2,2 millions d'utilisateurs actifs, ainsi que les bonnes pratiques à adopter de votre côté.

Les critères de sécurité à vérifier avant de choisir

1. Pouvoir s'inscrire sans fournir de données personnelles

C'est le critère le plus déterminant et aussi le plus rare : la grande majorité des assistants fiscaux exigent au moins une adresse e-mail pour créer un compte. Cela suffit à associer un historique de transactions à une identité.

Le principe est simple : une donnée qui n'est pas collectée ne peut pas fuiter. Votre adresse e-mail habituelle figure probablement déjà dans d'autres fuites de données, avec votre nom, votre numéro de téléphone ou votre adresse. Si elle apparaît également dans la base d'un assistant fiscal, un attaquant pourrait faire le lien entre votre identité et un patrimoine crypto important. Sans adresse e-mail, ce rapprochement devient impossible : il ne disposerait que d'historiques de transactions anonymes, inutilisables pour cibler une personne.

CoinTracking permet justement de créer un compte avec un simple nom d'utilisateur et un mot de passe, sans adresse e-mail, numéro de téléphone ni carte bancaire pour l'offre gratuite. À notre connaissance, aucun autre grand assistant fiscal crypto ne propose aujourd'hui une inscription entièrement anonyme. CoinTracking indique également effectuer ses calculs statistiques sans utiliser de données personnelles.

Pour profiter pleinement de cette possibilité, choisissez un nom d'utilisateur que vous n'employez nulle part ailleurs et un mot de passe unique. Si vous préférez tout de même renseigner une adresse e-mail, par exemple pour récupérer votre compte, créez-en une spécialement pour cet usage auprès d'un service axé sur la confidentialité, comme Proton Mail.

Sur CoinTracking, l'adresse e-mail est facultative : un nom d'utilisateur et un mot de passe suffisent

2. Un accès en lecture seule à vos plateformes

La connexion d'un exchange crypto à un assistant fiscal se fait généralement au moyen d'une clé API. Celle-ci doit être configurée en lecture seule, sans autorisation de trading ni de retrait : l'outil peut alors consulter votre historique sans pouvoir déplacer vos fonds. Vérifiez également comment ces clés sont stockées.

CoinTracking accepte uniquement les clés API en lecture seule. Après leur importation, elles sont chiffrées sur ses serveurs. Selon CoinTracking, même ses employés ne peuvent pas les consulter. Pour les imports manuels par fichier CSV, la plateforme extrait les transactions, mais ne conserve pas le fichier.

Une clé API en lecture seule permet de lire l'historique sans pouvoir déplacer les fonds

3. L'hébergement et le cadre juridique

Le lieu de stockage des données détermine les règles qui leur sont applicables. Si elles sont hébergées dans l'Union européenne, elles relèvent du RGPD, qui encadre leur collecte, leur conservation et leur suppression.

Les serveurs de CoinTracking se trouvent exclusivement en Allemagne et sont donc soumis au RGPD ainsi qu'à la loi allemande sur la protection des données. Toutes les données sensibles sont chiffrées, et la plateforme utilise le chiffrement SSL/TLS pour les données en transit.

Les serveurs de CoinTracking sont hébergés en Allemagne

4. Des certifications ayant fait l'objet d'un audit

La simple affirmation d'un site selon laquelle il est sécurisé ne constitue pas une preuve. Une certification comme ISO/IEC 27001 offre une garantie plus solide : elle atteste que l'entreprise applique un système de management de la sécurité de l'information, comprenant l'évaluation des risques, des contrôles et une amélioration continue, vérifié par un auditeur indépendant. Vérifiez toutefois que la certification est détenue par l'entreprise elle-même, et non uniquement par son hébergeur.

CoinTracking est certifié ISO/IEC 27001 à l'échelle de l'entreprise, et le certificat est consultable sur son site. Cette certification ne porte pas uniquement sur l'infrastructure technique de la plateforme : elle concerne aussi l'organisation interne, notamment les formations régulières des équipes à la sécurité et la limitation des accès aux systèmes aux seuls besoins liés au rôle de chaque employé.

CoinTracking est certifié ISO/IEC 27001

5. La sécurisation du compte

Une authentification à deux facteurs (2FA) intégrée, au moyen d'une application dédiée, protège le compte même si le mot de passe est compromis. Certains services ne la permettent qu'en se connectant via Google ou Apple, ce qui rattache de nouveau le compte à une identité.

CoinTracking propose une double authentification intégrée, compatible avec des applications comme Google Authenticator ou Authy. Cette protection est cruciale pour sécuriser votre compte : activez-la dès que possible.

6. La suppression et l'exportation de vos données

Lorsque vous cessez d'utiliser un assistant fiscal pour vos cryptomonnaies, vous devez pouvoir récupérer vos données, puis les faire supprimer définitivement. Ce point est malheureusement souvent négligé. D'après leurs politiques de confidentialité, certains services conservent les données plusieurs mois après la fermeture du compte, dans des sauvegardes ou des archives. Il arrive aussi que la suppression nécessite de contacter le support au lieu de cliquer sur un bouton. Pendant ce délai, vos données restent exposées à un risque de fuite.

Avant de choisir un assistant fiscal ou tout autre service lié à vos cryptomonnaies, consultez sa politique de confidentialité pour vérifier la durée de conservation après la fermeture du compte, la procédure de suppression et la possibilité d'exporter votre historique.

Sur CoinTracking, la suppression est immédiate et définitive, et vous pouvez la déclencher à tout moment. La plateforme indique qu'elle efface toutes les transactions, les informations de portefeuille et les clés API, sans conserver de données résiduelles. Vous pouvez aussi exporter vos données avant de partir, conformément au droit à la portabilité prévu par le RGPD.

Les bonnes pratiques à adopter de votre côté

Les mesures de la plateforme ne suffisent pas si votre compte est mal protégé. Voici quelques bonnes pratiques pour réduire fortement les risques :

  • Préservez votre anonymat : si l'outil le permet, ne fournissez ni adresse e-mail ni numéro de téléphone. Sinon, utilisez une adresse dédiée qui ne contient ni votre nom ni votre prénom ;
  • Choisissez un nom d'utilisateur neutre, sans lien avec vos autres comptes en ligne ;
  • Évitez la connexion rapide via Google ou Apple, qui associe le compte à votre identité ;
  • Utilisez un mot de passe unique, généré et conservé dans un gestionnaire de mots de passe ;
  • Activez la 2FA au moyen d'une application (Google Authenticator ou Authy) plutôt que par SMS, afin d'éviter les attaques par SIM swap ;
  • Créez une clé API distincte pour chaque outil, avec un accès en lecture seule, et révoquez-la si vous cessez de l'utiliser ;
  • Si votre banque le permet, payez avec une carte bancaire temporaire. Revolut, par exemple, permet de créer des cartes temporaires à usage unique ;
  • Méfiez-vous du phishing et des communications que vous pourriez recevoir par e-mail, SMS ou un autre moyen. Vérifiez la légitimité de l'expéditeur et ne cliquez sur aucun lien. Rendez-vous directement sur le véritable site de l'outil ou de la plateforme pour vérifier les informations mentionnées dans le message ;
  • Supprimez systématiquement les comptes des outils que vous n'utilisez plus.

Les autres critères pour choisir son assistant fiscal

La sécurité ne vous dispense pas de vérifier la qualité du calcul des plus-values sur vos cryptomonnaies. En France, l'outil doit appliquer la méthode prévue par l'article 150 VH bis du CGI, qui se fonde sur la valeur globale du portefeuille. CoinTracking applique cette méthode pour la France et génère automatiquement le formulaire 2086.

L'outil doit aussi proposer des fonctions de contrôle, comme la détection des doublons et des transferts dont l'arrivée ou le départ n'a pas été retrouvé. La plupart des rapports erronés résultent d'un historique incomplet plutôt que d'une erreur de calcul.

Aperçu de l'interface de CoinTracking

Le modèle tarifaire mérite également votre attention. Chez CoinTracking, les limites de transactions sont cumulatives sur toute la durée de vie du compte, et non calculées par année : un seul abonnement peut donc couvrir plusieurs années fiscales. Pour en savoir plus sur les fonctionnalités et les tarifs, consultez notre avis complet sur CoinTracking. Pour comparer les principales solutions du marché, consultez notre comparatif des assistants fiscaux crypto.

En bref : les critères à appliquer pour choisir votre assistant fiscal

Pour comparer les assistants fiscaux, voici les questions à vous poser et les réponses concernant CoinTracking :

Pour vérifier ces critères vous-même, CoinTracking propose un essai gratuit de 7 jours avec imports illimités, sans carte bancaire. En passant par notre lien, vous bénéficiez de 10 % de réduction à vie sur les formules payantes, hors licence à vie et promotions. 👇