Vérification…
Session 7 jours (cookie HttpOnly), verrouillage 15 min après 5 échecs. Le PIN des ordres reste un second facteur indépendant. Clés API chiffrées, lecture seule, aucun retrait possible par construction.