La phrase de récupération, le vrai mot de passe d'un portefeuille crypto

Quand vous installez un portefeuille de bitcoins ou d'ethers que vous contrôlez vous-même, l'application affiche une liste de 12 ou 24 mots et vous demande de la noter. Ce n'est pas un mot de passe au sens habituel : ces mots sont le portefeuille. Toutes les clés privées, toutes les adresses, tous les fonds en découlent mathématiquement. Qui possède la liste possède l'argent, et personne ne peut la réinitialiser si elle est perdue. Cette page explique comment ces phrases sont construites, ce qui les distingue des autres secrets d'un portefeuille, et vous permet d'en tirer ou d'en vérifier une dans votre navigateur.

Les différents secrets d'un portefeuille

Un portefeuille moderne empile plusieurs couches de protection, et la confusion entre elles est à l'origine de la plupart des pertes de fonds. Le tableau ci-dessous les met côte à côte.

La règle qui en découle est simple : le code PIN protège l'appareil, la phrase protège l'argent. Un mot de passe d'application solide, du type de ceux que produit notre générateur, reste utile pour empêcher un proche ou un voleur d'ouvrir l'application sur votre téléphone, mais il ne remplace jamais la sauvegarde des mots.

Comment une phrase de 12 mots est fabriquée

Le format est fixé par un standard de 2013 appelé BIP39, pour Bitcoin Improvement Proposal numéro 39, repris ensuite par Ethereum et par la quasi-totalité des portefeuilles du marché. Le logiciel commence par tirer un nombre aléatoire de 128 bits pour 12 mots, ou de 256 bits pour 24 mots. Il calcule ensuite une empreinte SHA-256 de ce nombre et en prélève les premiers bits, 4 pour 12 mots, 8 pour 24, qu'il colle à la suite : c'est la somme de contrôle. Le résultat, 132 ou 264 bits, est découpé en tranches de 11 bits, et chaque tranche désigne un mot dans une liste de 2048 mots, puisque 2 puissance 11 vaut précisément 2048.

Cette somme de contrôle explique deux choses que les utilisateurs remarquent souvent. D'abord, le dernier mot n'est pas libre : pour 12 mots, seul un mot sur seize fonctionne en dernière position, et un portefeuille refuse une phrase dont la somme ne correspond pas. Ensuite, il est impossible de choisir ses mots soi-même en espérant tomber juste, ce qui est une excellente chose, puisqu'une phrase choisie par un humain serait très loin d'avoir les 128 bits d'entropie promis.

La liste anglaise a été conçue avec soin : les quatre premières lettres de chaque mot suffisent à l'identifier, les mots qui se ressemblent trop ont été écartés, et aucun n'a d'orthographe ambiguë. C'est pour cela que les plaques métalliques de sauvegarde ne gravent que quatre lettres par mot. Des listes officielles existent dans d'autres langues, dont le français, mais la plupart des portefeuilles ne savent restaurer que l'anglaise. Si vous tenez à une liste française, assurez-vous d'abord que votre application la reconnaît, sans quoi la phrase sera illisible le jour où vous en aurez besoin.

Une fois la phrase validée, le logiciel la transforme en une graine de 512 bits par une fonction de dérivation lente appelée PBKDF2, puis en déduit, selon les standards BIP32 et BIP44, une arborescence de clés privées et d'adresses pratiquement infinie. C'est pour cela qu'une seule phrase couvre vos bitcoins, vos ethers et toutes vos adresses passées et futures, sur n'importe quelle application compatible.

12 ou 24 mots ?

Les deux formats sont sûrs. Une phrase de 12 mots offre 128 bits d'entropie, ce qui dépasse déjà de très loin tout ce qu'une attaque par force brute peut espérer : notre page sur la force d'un mot de passe montre qu'un secret de 100 bits est hors de portée pour l'éternité, et la cryptographie des clés Bitcoin elle-même n'offre pas plus de 128 bits de sécurité effective. Les 24 mots n'ajoutent donc rien contre un attaquant qui devine, mais ils sont devenus la norme des portefeuilles matériels par prudence, et ils tiennent mieux face à un tirage aléatoire de mauvaise qualité.

En contrepartie, 24 mots sont deux fois plus longs à recopier, à graver et à vérifier, et une erreur de transcription est deux fois plus probable. Le conseil pratique : conservez le format que votre portefeuille vous a donné, ne cherchez pas à le convertir, et consacrez votre énergie à la qualité de la sauvegarde physique plutôt qu'au nombre de mots.

Le 25e mot, une protection à double tranchant

La passphrase BIP39 est un texte libre, sensible à la casse et aux espaces, que l'on ajoute à la phrase de récupération. Chaque passphrase différente ouvre un portefeuille complètement distinct à partir des mêmes 24 mots, et il n'existe aucun moyen de savoir si la passphrase saisie est la bonne : une faute de frappe vous mène simplement sur un portefeuille vide, sans message d'erreur.

Son intérêt est réel. Si quelqu'un trouve votre papier ou votre plaque, il n'accède qu'au portefeuille sans passphrase, que l'on peut laisser presque vide en guise de leurre. Son danger est tout aussi réel : la passphrase n'est écrite nulle part dans le portefeuille, donc si vous l'oubliez, ou si vos héritiers ne la connaissent pas, les fonds sont perdus avec les 24 mots sous les yeux. Si vous en utilisez une, traitez-la exactement comme la phrase elle-même, notée séparément, à un autre endroit, et testez la restauration complète avant d'y déposer quoi que ce soit. Une phrase de passe de plusieurs mots tirés au sort fait une bonne passphrase, bien plus qu'un prénom ou qu'une date.

Les variantes que vous pouvez rencontrer

Electrum

Ce portefeuille Bitcoin historique utilise son propre format de 12 mots, antérieur à BIP39. La liste est la même, mais la somme de contrôle fonctionne autrement et la dérivation des clés aussi, si bien qu'une phrase Electrum n'est pas restaurable telle quelle dans un autre portefeuille, et inversement. Electrum sait toutefois importer une phrase BIP39 si on lui demande explicitement.

Monero

Monero emploie une liste de 1626 mots et des phrases de 25 mots, dont le dernier est la somme de contrôle. Le principe est le même, mais rien n'est compatible avec BIP39.

Les sauvegardes partagées SLIP39

Proposé par Trezor, ce format découpe le secret en plusieurs parts de 20 ou 33 mots, selon le principe du partage de secret de Shamir. On choisit par exemple cinq parts dont trois suffisent à reconstituer le portefeuille : la perte de deux parts n'est pas grave, et la découverte de deux parts par un tiers ne lui donne rien. C'est la réponse propre à la tentation de couper une phrase de 24 mots en deux moitiés rangées à deux endroits, une pratique à proscrire puisque chaque moitié trouvée réduit la sécurité de façon catastrophique.

Les portefeuilles multisignatures

Un portefeuille multisig exige plusieurs clés, donc plusieurs phrases de récupération, pour autoriser une dépense, par exemple deux parmi trois. Chaque phrase se sauvegarde séparément, et il faut en plus conserver le descripteur du portefeuille, qui indique comment les clés sont combinées. Sans lui, même avec toutes les phrases, la restauration devient un casse-tête.

Vérifier une phrase

Le vérificateur ci-dessous contrôle qu'une phrase compte un nombre de mots valide, que chaque mot figure dans la liste anglaise ou française, et que la somme de contrôle est juste. Il travaille uniquement dans votre navigateur. Servez-vous-en pour relire une phrase que vous venez de tirer ici avant de la noter, ou pour comprendre pourquoi un portefeuille refuse une saisie.

Tirer sa phrase avec des dés

Les plus méfiants ne veulent dépendre d'aucun générateur logiciel, ni le nôtre, ni celui de leur ordinateur. La méthode classique consiste à lancer un dé à six faces et à noter chaque résultat : chaque lancer apporte environ 2,58 bits d'aléa, il en faut donc au moins 50 pour une phrase de 12 mots et 99 pour une phrase de 24 mots. La suite de chiffres est ensuite passée dans SHA-256, et l'empreinte obtenue fournit l'entropie de la phrase. C'est la convention utilisée par le portefeuille matériel Coldcard, ce qui vous permet de vérifier le résultat sur un appareil hors ligne avec les mêmes lancers.

Lancez un vrai dé, pas une application qui en imite un, et notez tous les résultats sans en écarter aucun : supprimer les séries qui « font bizarre » appauvrit l'aléa au lieu de l'améliorer. Un dé de casino, aux arêtes vives et au poids équilibré, est préférable à un dé de jeu de société, mais la différence reste marginale quand on dépasse largement le nombre de lancers minimal.

Trouver le dernier mot

Autre méthode manuelle : tirer soi-même les mots dans la liste, par exemple en lançant des dés pour choisir un numéro entre 1 et 2048, puis laisser l'outil calculer le dernier mot. Le dernier mot n'est en effet pas libre : pour une phrase de 12 mots, ses 11 bits se composent de 7 bits d'aléa et de 4 bits de somme de contrôle, si bien que 128 mots sur 2048 sont possibles en douzième position. Pour 24 mots, il n'en reste que 8. Saisissez les 11 ou 23 premiers mots, l'outil affiche tous les derniers mots valides, et vous en choisissez un au hasard.

Conserver sa phrase sans la perdre ni la faire fuiter

La phrase doit survivre à un incendie, à un cambriolage, à votre propre oubli et, un jour, à votre absence. Les règles qui suivent font consensus chez ceux qui ont perdu des fonds et chez ceux qui ne les ont pas perdus.

Écrivez-la à la main, sur papier ou sur un support métallique vendu à cet effet, qui résiste au feu et à l'eau. Jamais de photo, jamais de capture d'écran, jamais de fichier texte, jamais de courriel à soi-même, jamais de note synchronisée dans le nuage : chacun de ces supports est lu par des logiciels malveillants spécialisés qui ne cherchent que cela. Un gestionnaire de mots de passe chiffré est un compromis acceptable pour un portefeuille de poche, pas pour une épargne.

Faites au moins deux copies complètes, rangées dans deux lieux distincts, par exemple chez vous et dans un coffre bancaire ou chez une personne de confiance. Ne découpez pas la phrase en morceaux répartis entre plusieurs endroits : utilisez SLIP39 ou un multisig si vous voulez répartir le risque. Testez la restauration sur un appareil vierge avant d'y transférer des montants importants, c'est la seule façon de savoir que la sauvegarde est lisible et complète.

Pensez enfin à la transmission. Une enveloppe scellée chez un notaire, ou des instructions laissées à un proche, évitent que le portefeuille ne devienne définitivement inaccessible. Les analyses de la blockchain estiment que plusieurs millions de bitcoins dorment déjà sur des adresses dont les clés sont perdues.

Les arnaques à la phrase de récupération

Elles reposent toutes sur la même idée : vous convaincre de taper vos mots quelque part. Aucun service d'assistance, aucun portefeuille, aucune plateforme d'échange, aucun développeur n'a jamais besoin de votre phrase pour vous aider, et la seule bonne réponse à qui vous la demande est de couper la conversation. Les faux supports techniques sur les réseaux sociaux, les sites qui proposent de « synchroniser », « valider » ou « débloquer » votre portefeuille, les fausses mises à jour d'application et les extensions de navigateur imitant un portefeuille connu reviennent chaque semaine sous un nouveau nom. Méfiez-vous aussi des logiciels qui remplacent discrètement une adresse copiée dans le presse-papiers : relisez toujours les premiers et les derniers caractères d'une adresse avant de valider un envoi. Notre page sur la sécurité en ligne détaille les réflexes à prendre face à l'hameçonnage.