Qu’est-ce qu’un portefeuille crypto, et comment le garder en sécurité ?

Demandez à la plupart des néophytes ce que fait un portefeuille crypto et vous entendrez une version de « c’est là que je garde mes cryptos ». C’est une manière intuitive de le concevoir, mais ce n’est pas tout à fait exact, et c’est précisément dans l’écart entre la métaphore et la réalité que les gens s’attirent des ennuis. Comprendre ce qu’est réellement un portefeuille, et ce qu’il protège, fait partie des connaissances de sécurité les plus utiles en cryptomonnaie.

Un portefeuille ne détient pas vos cryptos, il détient vos clés

Sur une blockchain, vos cryptos ne se trouvent pas à l’intérieur d’une application ou d’un appareil physique. Elles existent sous forme d’entrées dans un registre public partagé, et le contrôle de ces entrées est entièrement déterminé par la cryptographie. Un portefeuille crypto est un logiciel, et parfois du matériel, qui génère et gère une paire de clés cryptographiques : une clé privée, qui prouve la propriété et autorise les dépenses, et une clé publique, dont votre adresse de réception est dérivée. Quand quelqu’un vous demande d’envoyer des cryptos, il vous demande en réalité de diffuser une transaction, signée avec votre clé privée, qui réattribue des entrées du registre à son adresse. Le vrai rôle du portefeuille est de gérer cette paire de clés et de construire des transactions valides et signées, non d’entreposer des jetons dans un coffre numérique.

Cette distinction change ce que la sécurité signifie réellement en pratique. Vous ne protégez pas des cryptos rangées dans une boîte. Vous protégez un fragment d’information secrète et cryptographique qui, s’il est copié, confère à quiconque le détient le même pouvoir de dépense que vous, instantanément, sans avoir besoin de votre appareil, de votre mot de passe ni de votre autorisation.

Portefeuilles chauds contre portefeuilles froids

Les portefeuilles se répartissent en gros selon que leurs clés touchent ou non un jour à internet.

Un portefeuille chaud conserve ses clés privées sur un appareil connecté à internet, comme une application mobile, une extension de navigateur ou un programme de bureau. Les portefeuilles chauds sont commodes au quotidien : transferts rapides, connexion à des applications, essai de nouvelles plateformes. Cette commodité a une contrepartie, car tout appareil connecté à internet peut, en principe, être visé par des logiciels malveillants, de fausses applications ou des tentatives de phishing.

Un portefeuille froid conserve les clés privées sur un appareil qui ne se connecte jamais à internet, signant les transactions hors ligne et n’exportant que la transaction finalisée et signée pour la diffuser depuis un appareil connecté distinct. Les portefeuilles matériels dédiés en sont la forme la plus courante. Comme le matériel des clés ne touche jamais une machine connectée à internet, le stockage à froid supprime toute une catégorie d’attaques à distance. Beaucoup finissent par utiliser les deux : un portefeuille chaud pour de petits soldes actifs, et le stockage à froid pour une épargne à laquelle ils touchent rarement.

Garde par un tiers contre auto-conservation : qui détient réellement les clés

Distincte de chaud contre froid, il existe une tout autre distinction : qui contrôle la clé privée ?

Avec un portefeuille sous garde, celui que vous obtenez par défaut sur la plupart des plateformes d’échange centralisées, la plateforme détient les clés privées en votre nom. Vous vous connectez avec un identifiant et un mot de passe, et la plateforme gère la cryptographie en coulisses. C’est simple, et cela signifie qu’un mot de passe oublié peut généralement être récupéré via l’assistance de compte classique.

Avec un portefeuille en auto-conservation, ou sans garde, vous détenez vous-même la clé privée, généralement représentée sous forme de phrase de récupération. Personne d’autre ne peut geler, annuler ou déplacer vos fonds, mais personne d’autre ne peut non plus vous aider si vous perdez l’accès. Choisir entre les deux ne revient pas à dire que l’un est universellement juste ; il s’agit d’accorder le type de portefeuille à la façon dont vous utilisez réellement l’actif. Des fonds que vous négociez activement peuvent raisonnablement se trouver sur un compte sous garde ; une épargne que vous comptez conserver des années convient généralement mieux à l’auto-conservation.

Phrases de récupération : la sauvegarde maîtresse de vos clés

La plupart des portefeuilles modernes ne vous demandent pas de sauvegarder une chaîne aléatoire de lettres et de chiffres. À la place, ils génèrent une phrase de récupération, une séquence précise de mots ordinaires, à partir de laquelle chaque clé privée que ce portefeuille utilisera un jour peut être régénérée mathématiquement. La phrase de récupération est, en somme, la clé maîtresse de chaque actif que ce portefeuille contrôle, présent et futur.

Ce seul fait explique la plupart des règles entourant son maniement. Quiconque obtient votre phrase de récupération peut recréer votre portefeuille sur son propre appareil et déplacer vos fonds, sans mot de passe, code PIN ni biométrie, car la phrase de récupération contourne tout cela. Cela signifie aussi que la phrase est la seule chose qui compte pour la récupération : si votre téléphone est perdu, volé ou détruit, restaurer la phrase de récupération dans un portefeuille compatible rétablit l’accès complet. En revanche, perdez la phrase sans sauvegarde et il n’y a aucune réinitialisation de mot de passe, car il n’existe aucun compte central à réinitialiser.

« Pas vos clés, pas vos cryptos »

Pas vos clés, pas vos cryptos.

Cette formule rebattue dans les cercles crypto n’est en réalité qu’une reformulation de la distinction entre garde par un tiers et auto-conservation, mais elle mérite qu’on s’y attarde. Quand vos cryptos se trouvent sur un compte sous garde, vous détenez une créance sur la plateforme, une reconnaissance de dette adossée à ses systèmes et à ses politiques, plutôt qu’un contrôle cryptographique direct de l’actif. Cette créance est généralement honorée sans souci, mais elle dépend du fait que la plateforme reste solvable, reste en ligne et choisisse de traiter les retraits. L’auto-conservation supprime entièrement cette dépendance : contrôler la clé privée, c’est contrôler l’actif, sans aucun intermédiaire entre les deux.

Aucune des deux approches n’est intrinsèquement imprudente. Le sens de la formule n’est pas « conservez toujours tout vous-même », mais que vous devriez savoir, pour chaque avoir, dans quelle situation vous vous trouvez réellement.

Des habitudes pratiques qui gardent un portefeuille sûr

La plupart des compromissions de portefeuille ne viennent pas d’attaques cryptographiques exotiques. Elles viennent d’une poignée d’erreurs récurrentes. Les habitudes essentielles ci-dessous couvrent l’essentiel du risque du monde réel :

• Ne partagez jamais votre phrase de récupération ni votre clé privée avec qui que ce soit. Aucun fournisseur de portefeuille, plateforme d’échange ou agent d’assistance légitime n’en aura jamais besoin ; une demande de votre phrase est l’un des signes les plus fiables d’une arnaque.
• Restez vigilant face au phishing. Les fausses applications de portefeuille, les sites web clonés et les messages vous pressant de « vérifier votre portefeuille » en saisissant votre phrase de récupération comptent parmi les moyens les plus courants de vol de fonds. Notre guide sur comment éviter les arnaques crypto traite les schémas courants plus en profondeur.
• Ne téléchargez des applications de portefeuille qu’à partir de sources officielles, et vérifiez deux fois le nom du développeur et l’orthographe avant d’installer quoi que ce soit.
• Envisagez un portefeuille matériel pour des avoirs plus importants ou de long terme. Déplacer l’épargne vers le stockage à froid la retire de l’ensemble des actifs exposés aux logiciels malveillants ou aux attaques via le navigateur.
• Vérifiez soigneusement les adresses de réception, en particulier sur l’écran même d’un portefeuille matériel, car certains logiciels malveillants sont conçus spécifiquement pour remplacer une adresse copiée par celle d’un attaquant.
• Notez les sauvegardes de votre phrase de récupération hors ligne, sur papier ou métal, plutôt que dans une capture d’écran, une note cloud ou un e-mail, lesquels peuvent tous être exposés si un compte ou un appareil est compromis.

Se mettre à l’aise avant d’engager de vrais fonds

Si tout cela est nouveau pour vous, aucune règle ne dit que vous devez déplacer des fonds significatifs dès le premier jour. Configurer un portefeuille, envoyer un petit montant de test et vous exercer au processus de bout en bout coûte très peu et vous apprend bien plus que sa simple lecture ne le fera jamais. Notre guide plus complet sur les portefeuilles détaille la procédure de configuration pour les options sous garde comme en auto-conservation, et constitue une étape suivante raisonnable une fois les concepts ci-dessus bien assimilés.

Comprendre les portefeuilles n’est pas non plus une tâche ponctuelle. À mesure que vos avoirs grandissent ou que vous explorez de nouvelles plateformes, les mêmes principes s’appliquent : sachez si vous utilisez un portefeuille chaud ou froid, sachez si ce sont vous ou un dépositaire qui détient les clés, et traitez votre phrase de récupération avec le même soin que vous accorderiez à un passeport ou à un acte de propriété. Maîtrisez ces bases, et le reste de la sécurité crypto devient bien plus gérable.