Sécuriser sa seed phrase : protéger ses mots de récupération crypto

Qu'est-ce qu'une seed phrase ?

Une seed phrase, aussi appelée phrase de récupération ou phrase mnémonique, est une liste de mots ordinaires que votre portefeuille génère lors de sa première configuration. La plupart des portefeuilles suivent une norme appelée BIP-39, qui choisit les mots dans une liste fixe de 2 048. Les phrases comptent généralement 12 ou 24 mots, même si la norme autorise aussi 15, 18 et 21 mots.

Ces mots encodent le secret à partir duquel votre portefeuille crée toutes ses clés privées et ses adresses. C'est pourquoi vous pouvez saisir la même phrase dans un autre portefeuille compatible et retrouver les mêmes fonds. La phrase n'est pas le mot de passe d'une application. En pratique, c'est le portefeuille lui-même.

Celui qui détient les mots détient les fonds

Les blockchains ne savent pas qui vous êtes. Elles vérifient seulement qu'une transaction est signée avec la bonne clé. Toute personne en possession de votre seed phrase peut donc signer des transactions et déplacer vos cryptos depuis n'importe où, à tout moment. Aucune banque ne peut annuler l'opération et aucun service d'assistance ne peut la bloquer.

L'inverse est également vrai. Si la phrase est perdue et que votre appareil tombe en panne, les fonds sont perdus pour de bon. Le fabricant du portefeuille ne peut pas la réinitialiser, car il n'en a jamais eu de copie. Protéger la phrase, c'est se prémunir contre deux dangers à la fois : le vol et la perte.

Comment la conserver en sécurité

• Écrivez-la à la main sur papier, dans le bon ordre, et vérifiez chaque mot par rapport à l'écran.
• Ne la photographiez jamais, n'en faites pas de capture d'écran et ne la stockez pas dans une application de notes, un e-mail, un stockage en ligne ou une messagerie. Tout ce qui est connecté à Internet peut être piraté.
• Envisagez une sauvegarde sur métal pour le long terme, car le papier peut brûler, s'effacer ou être mouillé.
• Gardez au moins deux copies dans des lieux sûrs et distincts, afin qu'un seul incendie, une inondation ou un cambriolage ne puisse pas détruire les deux.
• Testez votre sauvegarde tant que le solde est faible : restaurez le portefeuille à partir de vos mots écrits avant d'y envoyer des sommes plus importantes.

Passphrase et préparation de la succession

De nombreux portefeuilles proposent une passphrase facultative, parfois appelée 25e mot. Combinée à la seed phrase, elle ouvre un portefeuille entièrement différent : une personne qui ne trouve que vos mots écrits ne peut donc pas accéder à ces fonds. Le piège, c'est qu'il n'existe pas de message d'erreur en cas de mauvaise passphrase. N'importe quelle passphrase ouvre un portefeuille valide, généralement vide : si vous oubliez l'orthographe exacte, les fonds sont perdus. Conservez la passphrase séparément de la seed phrase et sauvegardez-la avec le même soin.

Pensez aussi à ce qui se passerait si vous n'étiez plus là. Sans plan, vos proches risquent de ne jamais trouver ni comprendre votre portefeuille. Une approche simple consiste à rédiger une lettre scellée, conservée avec votre testament ou chez un avocat ou un notaire de confiance, qui explique quels portefeuilles vous possédez et où se trouvent les sauvegardes. Les règles en matière de testament et de succession varient selon les pays : demandez conseil localement pour toute démarche officielle.

Ne la saisissez jamais sur un site web

Un vrai portefeuille ne vous demande votre seed phrase que lorsque vous le restaurez dans l'application ou l'appareil lui-même. Aucun site web, agent du support, airdrop, page de validation de portefeuille ou fenêtre pop-up de navigateur n'en a jamais besoin. Les escrocs créent de faux sites de portefeuille, de faux écrans de mise à jour et de faux chats d'assistance précisément pour récupérer ces mots. Certains envoient même par la poste des portefeuilles matériels trafiqués avec une phrase déjà imprimée, afin que les victimes déposent leurs fonds dans un portefeuille contrôlé par l'escroc.

La règle est simple : toute personne qui vous demande votre seed phrase cherche à vous voler. Laissez toujours votre propre portefeuille générer une nouvelle phrase, et n'utilisez jamais une phrase fournie par quelqu'un d'autre.

Protégez vos comptes avec l'authentification à deux facteurs

Les cryptos détenues sur une plateforme d'échange sont protégées par l'identifiant de votre compte, et non par une seed phrase. Activez l'authentification à deux facteurs (2FA), qui exige une seconde preuve en plus de votre mot de passe.

• Les applications d'authentification génèrent sur votre téléphone un code court qui change toutes les quelques secondes. Elles sont bien plus sûres que les SMS.
• Les clés de sécurité matérielles utilisant la norme FIDO2, ainsi que les passkeys, sont l'option courante la plus robuste, car elles vérifient l'adresse réelle du site web et résistent au phishing.
• Les codes par SMS sont le choix le plus faible, car des attaquants peuvent parfois détourner votre numéro de téléphone grâce à une arnaque au SIM swap. Ne les utilisez que si aucune autre option n'est proposée.

Utilisez un mot de passe long et unique pour chaque plateforme et pour votre messagerie e-mail, et conservez hors ligne vos codes de secours 2FA.