MetaTrader 5 est-il sûr ? Revue de sécurité

MetaTrader 5 est sûr lorsqu’il est utilisé avec un broker régulé, l’authentification à deux facteurs sur le compte broker et une hygiène du système d’exploitation de base sur l’appareil qui l’exécute. La plateforme elle-même, distribuée par MetaQuotes, est une application mature au bilan de sécurité propre sur plus d’une décennie en production chez des milliers de brokers. Les risques qui existent pour les utilisateurs de MT5 ne sont pas au niveau plateforme. Ils sont au niveau compte (vol d’identifiants), au niveau broker (risque de contrepartie chez des établissements non régulés) et au niveau utilisateur (arnaques d’ingénierie sociale qui abusent de la réputation de la plateforme).

La plateforme elle-même

MT5 est la plateforme propriétaire de MetaQuotes Software Corp. Elle fonctionne comme client desktop (Windows, macOS via Wine, Linux via Wine), terminal web et applications natives iOS et Android. La communication entre le client et le serveur du broker est chiffrée avec une poignée de main RSA 128 bits et un chiffrement de session AES-256. Les mots de passe de compte ne sont pas transmis en clair ; la plateforme utilise une authentification par défi-réponse.

Signature de code : MetaQuotes signe les binaires officiels. L’installateur desktop vérifie la signature au lancement. Un binaire MT5 modifié ne s’exécutera pas sur une installation Windows standard sans que l’utilisateur contourne activement les avertissements de sécurité.

Où vit le vrai risque

Trois surfaces de risque, par fréquence :

1. Vol d’identifiants. Emails de phishing usurpant l’identité de brokers, faux agents de support sur les réseaux sociaux et « EA MT5 » infestés de chevaux de Troie téléchargés sur des forums. Le vecteur est l’utilisateur, pas la plateforme.
2. Risque de contrepartie chez des brokers non régulés. La plateforme est réputable ; certains brokers qui l’utilisent ne le sont pas. Un broker offshore non régulé utilisant MT5 peut refuser les retraits, manipuler les spreads ou disparaître. La plateforme ne peut pas l’empêcher.
3. EA malveillants. Les expert advisors sont du code arbitraire qui s’exécute dans le processus de la plateforme. Un EA malveillant peut lire les identifiants du compte, passer des trades ou appeler un serveur externe. Traitez les EA de sources inconnues avec la même prudence qu’un exécutable non signé.

Les contrôles de sécurité qu’un utilisateur sérieux active

• Authentification à deux facteurs sur le compte broker. La plupart des brokers régulés proposent TOTP (Google Authenticator, Authy) ou 2FA par SMS. TOTP est préférable au SMS.
• Mot de passe investisseur (lecture seule). MT5 prend en charge un mot de passe séparé en lecture seule qui peut consulter l’état du compte mais pas passer de trades. Utile pour partager la performance avec un suiveur de copy-trade ou un relecteur.
• Sauvegarde de l’historique du compte. Exportez l’historique des trades chaque mois. Si le broker fait défaut ou est compromis, vos archives sont indépendantes.
• Liste blanche d’EA. Autorisez uniquement les EA signés provenant de sources connues. Désactivez « Allow DLL imports » sur les EA que vous n’avez pas personnellement vérifiés.
• Hygiène du système d’exploitation. Windows ou macOS à jour, antivirus actif, pas de logiciel piraté sur la machine de trading. Idéalement, une machine ou VM dédiée au trading.

Ce que MT5 fait bien d’un point de vue sécurité

• Pas de stockage local d’identifiants en clair. Les mots de passe sont stockés sous forme de hash si « se souvenir du mot de passe » est activé.
• Communication serveur chiffrée par défaut. Aucun repli vers non chiffré n’est proposé.
• Canal de mise à jour mature. MetaQuotes pousse les mises à jour de plateforme via le même canal depuis plus d’une décennie. La latence des patchs pour les problèmes connus se mesure en jours, pas en semaines.
• Intégration native avec les contrôles de risque côté broker. Seuils d’appel de marge, plafonds de levier et niveaux de stop-out sont appliqués côté serveur, pas dans le client. Un client modifié ne peut pas les contourner.

La couche broker compte plus que la plateforme

MT5 est le même logiciel chez chaque broker. Ce qui change, c’est le broker derrière : le régulateur, la ségrégation des fonds clients, le système de compensation des investisseurs, le modèle d’exécution et la maturité opérationnelle. Un trader retail qui choisit MT5 doit évaluer le broker en premier et la plateforme en second, car la plateforme est constante et le broker est la variable.

Cinq questions à poser avant d’ouvrir un compte :

1. Quel régulateur national autorise le broker, et quel est le numéro de licence ?
2. Les fonds clients sont-ils détenus dans des comptes ségrégués chez des banques de premier rang ?
3. Existe-t-il un système de compensation des investisseurs, et à quelle limite de couverture ?
4. La protection contre solde négatif est-elle offerte sur les comptes retail ?
5. Quel est le SLA documenté pour les retraits ?

Arnaques courantes qui exploitent la réputation de MT5

• EA à « rendements garantis » vendus via Telegram ou Discord. L’EA soit ne fait rien d’utile, soit inclut une porte dérobée qui vide le compte une fois qu’il a l’autorité de trader.
• Faux vendeurs de signaux de « copy trading ». Le fournisseur de signaux fait tourner un compte à fort levier et est payé à l’abonnement quel que soit le P&L. Du copy trading réaliste existe ; des argumentaires sous haute pression avec des captures d’écran de rendements mensuels supérieurs à 50 % non.
• Phishing de récupération de compte. Email ou message Telegram prétendant venir du broker, demandant le mot de passe du compte « pour vérifier le compte ». Un broker régulé ne demande jamais le mot de passe de trading par email.

Verdict

MT5 est sûr de la manière dont toute plateforme financière bien entretenue l’est : l’application est saine, les protocoles sont à jour et les contrôles de sécurité fonctionnent comme documenté. Les vulnérabilités qui existent vivent dans la couche humaine (phishing, ingénierie sociale, EA malveillants) et dans la couche broker (risque de contrepartie chez des établissements non régulés). Utilisez un broker régulé, activez l’authentification à deux facteurs, vérifiez tout EA que vous installez, et la plateforme est un logiciel connu pour être sain.

MT5 chez Volity

Volity fournit MetaTrader 5 avec authentification à deux facteurs, fonds clients ségrégués et exécution par UBK Markets Ltd, une entreprise d’investissement chypriote agréée par la CySEC sous la licence 186/12. Plafonds de levier retail sous ESMA : 1:30 sur les paires majeures, 1:20 sur les non majeures et les grands indices, 1:10 sur les autres matières premières, 1:5 sur les actions individuelles, 1:2 sur les cryptoactifs. La protection contre solde négatif s’applique. Les clients retail éligibles sont couverts par le Fonds chypriote de compensation des investisseurs jusqu’à 20 000 € par client et par entreprise.