La phrase de récupération et sa sécurité
Ce qu'est une phrase de récupération de 12 ou 24 mots, pourquoi elle compte plus qu'un mot de passe, comment la conserver et les ruses des escrocs.
Une phrase de récupération est une liste de mots à partir de laquelle un portefeuille dérive toutes vos clés privées. On l'appelle aussi seed phrase, phrase mnémonique ou phrase secrète de récupération. En résumé : quiconque connaît votre phrase de récupération a le contrôle total des fonds de ce portefeuille. C'est donc le secret le plus important que possède un détenteur de cryptomonnaies.
Comment ça marche
La plupart des portefeuilles suivent une norme appelée BIP-39. Selon cette norme, une phrase de récupération se compose de 12 ou 24 mots choisis dans une liste fixe de 2 048 mots. Ces mots ont été sélectionnés pour être faciles à noter et difficiles à confondre entre eux.
Techniquement, une phrase de récupération est une manière lisible par un humain de noter un très grand nombre aléatoire. Les clés privées et les adresses sont dérivées de ce nombre selon des règles mathématiques strictes. La même phrase produira les mêmes clés dans n'importe quel portefeuille compatible. Ainsi, si vous perdez votre téléphone ou si votre portefeuille matériel tombe en panne, vous pouvez restaurer l'accès sur un nouvel appareil.
L'ordre des mots compte. Les mêmes mots dans un ordre différent donnent un portefeuille complètement différent. Le dernier mot sert généralement en partie de somme de contrôle, si bien qu'un portefeuille peut souvent détecter une faute de frappe.
Pourquoi elle ne peut pas être devinée
Le nombre de phrases de récupération possibles est si gigantesque qu'aucun ordinateur existant ne pourrait toutes les essayer. Même une phrase de 12 mots est considérée comme sûre, à condition que le portefeuille l'ait générée de façon aléatoire.
Inventer sa propre phrase de récupération, par exemple à partir de mots favoris ou des paroles d'une chanson, est risqué. Les humains sont mauvais pour produire du vrai hasard, et une phrase de ce genre est bien plus facile à deviner.
En quoi elle diffère d'un mot de passe
Le mot de passe ou le code PIN d'une application de portefeuille ne protège que l'accès à cet appareil précis. Si vous l'oubliez, vous pouvez en général réinstaller l'application et restaurer le portefeuille à partir de la phrase de récupération.
La phrase de récupération, elle, ne peut être ni réinitialisée ni récupérée par e-mail. Aucun service d'assistance ne peut vous la rendre. Si la phrase est perdue et que l'appareil tombe en panne, l'accès aux fonds est perdu pour toujours. Si la phrase est volée, le voleur peut déplacer les fonds, et ce transfert ne peut pas être annulé sur la blockchain.
Comment la conserver
- Notez-la à la main sur papier au moment de créer le portefeuille. Écrivez proprement, lisiblement, et numérotez les mots.
- Vérifiez ce que vous avez écrit. De nombreux portefeuilles vous demandent de confirmer plusieurs mots. Ne sautez pas cette étape.
- Rangez-la en lieu sûr, à l'abri des regards indiscrets, de l'eau et du feu. Pour une conservation à long terme, certains utilisent des plaques de métal sur lesquelles les mots sont frappés ou gravés.
- Envisagez une seconde sauvegarde dans un autre lieu sûr, afin qu'un seul événement, comme un incendie, une inondation ou un déménagement, ne vous coûte pas l'accès.
- Aucune copie numérique. Ne la photographiez pas, n'en faites pas de capture d'écran, ne la gardez pas dans une application de notes, un stockage cloud, un e-mail ou une messagerie. Tout ce qui se trouve sur un appareil connecté à Internet peut être volé.
- Ne saisissez jamais votre phrase de récupération sur un site web. Le seul endroit où la saisir est le portefeuille lui-même, lors d'une restauration, et uniquement si vous avez lancé cette procédure vous-même.
Certains portefeuilles prennent en charge une phrase de passe (passphrase) facultative, parfois appelée le « 25e mot ». Elle ajoute une couche de protection, mais aussi un risque supplémentaire : si vous l'oubliez, les fonds sont irrécupérables, même avec la bonne phrase de récupération.
Comment les escrocs tentent de l'obtenir
Presque tous les vols de phrases de récupération reposent sur la tromperie plutôt que sur le piratage. Tactiques courantes :
- Faux agents du support. Quelqu'un vous contacte sur les réseaux sociaux ou une messagerie en prétendant représenter une plateforme d'échange ou un portefeuille, et vous demande votre phrase de récupération pour « vérifier » ou « débloquer » votre compte. Un vrai support ne la demande jamais.
- Sites d'hameçonnage. Une copie du site d'un portefeuille, avec un formulaire pour « synchroniser » ou « restaurer » votre compte.
- Fausses applications dans les magasins d'applications ou derrière des publicités.
- Concours et airdrops qui exigeraient de saisir votre phrase pour réclamer une récompense.
- Phrases de récupération pré-remplies. Il arrive qu'un appareil ou un message soit fourni avec une phrase toute prête. Tout ce qui sera envoyé sur ce portefeuille pourra être récupéré par celui qui l'a créée.
La règle est simple : si quelqu'un vous demande votre phrase de récupération, c'est une arnaque. Sans exception.
À retenir
- Une phrase de récupération BIP-39 compte 12 ou 24 mots tirés d'une liste de 2 048.
- Elle restaure toutes les clés du portefeuille, et l'ordre des mots compte.
- Conservez-la hors ligne, sur papier ou sur métal, en lieu sûr.
- Ne la communiquez jamais à personne et ne la saisissez jamais sur un site web.