Für die Echtgeld-Canary verlangt der Server zwei registrierte Passkeys oder einen registrierten Passkey plus mindestens einen unbenutzten Recovery-Code. Zusätzlich ist unmittelbar vor einem Live-Start eine frische Passkey-Bestätigung erforderlich. Recovery-Codes werden nur einmal angezeigt; die Anmeldung mit einem Code widerruft alle bisherigen Sitzungen und ersetzt keinen frischen Passkey-Step-up für Echtgeld.

API-Key und Secret werden nur per POST übertragen, verschlüsselt auf dem Server gespeichert und nie wieder angezeigt. Niemals Auszahlungsrechte aktivieren. Bitvavo liefert keine belastbare stabile Konto-ID; der Schlüssel wird nach Passkey-Step-up manuell an diese Verbindung gebunden. Credential-Rotation ist keine automatische Kontofortsetzung.