Nous négocions avec nos propres capitaux — et concevons les systèmes qui le permettent

Chaque stratégie est définie par des paramètres déclaratifs et existe en tant que module distinct : arbitrage inter-plateformes, tenue de marché, schémas de grille et moyennage programmé. Une stratégie prend une décision et formule une intention, tandis qu'un moteur d'exécution distinct assure la transmission et la gestion des ordres — la logique de négociation ne communique jamais directement avec la plateforme d'échange.

Les limites de risque sont définies dans la configuration de chaque moteur plutôt que codées en dur : bornes d'exposition, repli maximal (drawdown), taille par palier. Avant qu'une stratégie n'accède à des capitaux réels, elle est soumise à des tests sur données historiques (backtesting) et à une période de négociation simulée (paper trading) — ce qui élimine les configurations qui ne semblent fonctionner que sur les données historiques.

Chaque plateforme diffère par ses règles de précision, son ensemble de types d'ordres, ses limites de fréquence de requêtes et son schéma d'autorisation. L'adaptateur réconcilie l'ensemble en une seule interface : les prix et les tailles sont arrondis selon les règles de chaque instrument, les ordres non valides sont rejetés avant même d'être transmis, et REST, WebSocket et FIX apparaissent identiques à la couche de négociation.

La fiabilité des canaux est gérée séparément. Les connexions se rétablissent automatiquement, la clé du flux privé est renouvelée selon un calendrier, et les événements de flux sont dédupliqués par identifiant et résistants au réordonnancement. Le flux de cotations et le canal de négociation sont séparés sur des sockets distincts, afin qu'un afflux de données de marché ne retarde pas la transmission des ordres.

Le moteur de tests rejoue les événements de marché dans leur ordre d'origine, sans les moyenner sur les chandeliers : les ordres traversent la même logique d'exécution qu'en production, en tenant compte des frais, du spread, du slippage et des exécutions partielles. Les indicateurs sont calculés de manière causale, à la clôture de chaque chandelier, sans fenêtres centrées ni lissage rétroactif — sans quoi les résultats anticiperaient sur l'avenir.

La robustesse est vérifiée selon un schéma en fenêtre glissante (walk-forward) : les paramètres sont ajustés sur un segment de l'historique, puis évalués sur le suivant, qui n'a pris aucune part à l'ajustement. Une configuration qui ne fonctionne que sur la fenêtre d'apprentissage n'est jamais approchée des capitaux réels — c'est la principale protection contre le surapprentissage.

Chaque ordre est vérifié au regard des limites avant sa transmission : exposition par instrument et agrégée, repli maximal (drawdown), taille par palier. Un dépassement n'est pas simplement journalisé — il bloque toute augmentation de la position. Les limites sont définies dans la configuration et évoluent sans modifier le code de négociation, de sorte que les bornes de risque demeurent sous contrôle explicite.

Le coupe-circuit annule les ordres en attente et interrompt la négociation sur signal d'un opérateur ou en cas de violation d'un invariant. Les positions sont rapprochées périodiquement de l'état de la plateforme d'échange ; tout écart entre la comptabilité locale et la plateforme gèle la stratégie jusqu'à sa résolution, plutôt que de négocier sur une image erronée.

La télémétrie suit les latences, les exécutions, les positions et l'état des connexions aux plateformes. Chaque ordre est consigné dans le journal, accompagné du motif de son passage — ce qui rend les décisions prises reproductibles et permet de réexaminer toute transaction a posteriori sans dépendre de la mémoire d'un opérateur.

Les alertes se déclenchent en cas de dépassement de seuil, d'interruption d'un flux de données et de hausse de la latence entre le moteur d'appariement de la plateforme et la réception locale. L'état des systèmes est visible en temps réel sans accès au serveur, et le canal de métriques ainsi que le journal sont séparés du chemin de négociation, afin que les diagnostics n'entrent pas en concurrence avec la transmission des ordres pour les ressources.

La clé de chaque plateforme est créée avec un seul droit — celui de négocier. Les retraits et les transferts sont désactivés du côté de la plateforme d'échange, de sorte que même une clé compromise ne peut déplacer de fonds hors de la plateforme. C'est le socle technique du principe sur lequel repose la société : la négociation est menée exclusivement avec ses propres capitaux.

Les secrets sont stockés à l'écart du code et de la logique de négociation et n'apparaissent jamais dans les journaux ni dans les messages d'erreur. L'accès aux clés est cloisonné par rôle et journalisé, et leur rotation programmée s'effectue sans interrompre la négociation. Des clés distinctes pour les différentes plateformes et les différents environnements limitent la portée de toute fuite.