L’authentification à deux facteurs protège-t-elle un portefeuille crypto ? Comptes et clés privées

La réponse dépend de ce que vous entendez par « portefeuille ». S’il s’agit d’un compte sur une plateforme qui conserve vos cryptos pour vous, l’authentification à deux facteurs est très importante. S’il s’agit d’un portefeuille en auto-garde, il n’y a aucun compte auquel se connecter : la 2FA n’a donc rien à protéger.

Confondre les deux est une erreur fréquente et coûteuse. Voici comment chacun est protégé, pourquoi un second facteur ne peut pas protéger une clé privée et quelles solutions utiliser à la place.

Les comptes et les portefeuilles sont protégés différemment

Lorsqu’une plateforme conserve vos cryptos, vous vous connectez à un compte et la plateforme garde les clés privées pour votre compte. Ce type de garde est dit custodial. Votre protection repose sur la connexion elle-même : un mot de passe robuste et, généralement, un second facteur.

Un portefeuille en auto-garde fonctionne différemment. Vous détenez vous-même les clés, le portefeuille est essentiellement un outil qui les gère et les fonds se trouvent sur la blockchain plutôt que dans l’application. Aucun serveur d’entreprise ne vous demande de vous connecter : il n’y a donc pas non plus d’endroit où envoyer un code à usage unique.

Pourquoi l’authentification à deux facteurs protège les comptes

Pour un compte auquel on se connecte via un service, la 2FA est l’une des protections les plus efficaces disponibles. Selon CISA, demander un élément supplémentaire en plus d’un mot de passe réduit considérablement les risques de piratage de votre compte, car un mot de passe volé ou réutilisé ne suffit plus à lui seul pour y accéder.

Cela s’applique également aux comptes liés à vos cryptos, comme l’adresse e-mail associée à un compte sur une plateforme. CISA conseille de commencer par les comptes de messagerie et les comptes financiers, car un attaquant qui prend le contrôle de votre e-mail peut souvent réinitialiser d’autres mots de passe.

Pourquoi elle ne peut pas protéger une phrase de récupération ou une clé privée

Selon les propres recommandations de sécurité d’Ethereum, votre phrase de récupération, également appelée seed phrase, est la clé maîtresse de votre portefeuille ; les clés privées fonctionnent de la même façon pour les comptes individuels. Toute personne qui possède cette phrase peut restaurer le portefeuille sur son propre appareil. La blockchain vérifie uniquement qu’une transaction est correctement signée avec la bonne clé ; elle ne demande ni code, ni téléphone, ni mot de passe.

Un code d’accès à l’application ou un verrouillage par empreinte digitale protège l’application du portefeuille sur votre téléphone, ce qui est utile en cas de perte de celui-ci. Cela n’empêche pas une personne qui possède votre phrase de récupération de restaurer le portefeuille ailleurs. C’est aussi pourquoi on ne peut pas ajouter un second facteur à une phrase de récupération comme on peut le faire à une connexion.

Comment protéger un portefeuille en auto-garde

La protection repose sur le contrôle des clés. Les recommandations d’Ethereum indiquent de ne jamais partager votre phrase de récupération ou vos clés privées, et précisent que les captures d’écran d’une phrase de récupération peuvent être synchronisées avec un service cloud et devenir accessibles aux attaquants. Les bases consistent à noter la phrase, à la conserver hors ligne et à vérifier que la sauvegarde fonctionne. Bitcoin.org considère les portefeuilles matériels comme le meilleur compromis entre un très haut niveau de sécurité et la facilité d’utilisation, car les clés restent sur un appareil séparé qui signe les transactions sans les exposer à votre ordinateur.

La multisignature, ou multisig, est une notion apparentée : un portefeuille exige alors plusieurs clés pour autoriser une transaction. Dans son principe, cela ressemble à une protection à deux facteurs, puisqu’une seule clé volée ne suffit pas, mais le système repose sur des clés distinctes plutôt que sur des codes ou des connexions. Un portefeuille matériel et la multisig ne constituent pas une authentification à deux facteurs, même si les deux visent le même objectif : faire en sorte qu’un seul secret volé ne suffise pas.

Les comptes liés à votre portefeuille restent importants

Même avec un portefeuille en auto-garde, vous avez probablement des comptes qui y sont liés : une adresse e-mail, un compte sur une plateforme où vous achetez des cryptos ou un service cloud où une sauvegarde pourrait être stockée. L’authentification à deux facteurs protège tous ces comptes. Par exemple, une phrase de récupération enregistrée dans une note cloud n’est aussi sûre que le compte qui contient cette note.

La répartition à adopter est donc simple : utilisez la 2FA pour chaque compte auquel on se connecte via un service, et protégez les clés et les phrases de récupération en les gardant hors ligne et confidentielles.

Rappel de WEEX : la 2FA protège les comptes, pas les phrases de récupération

WEEX rappelle aux utilisateurs d’activer l’authentification à deux facteurs sur leurs comptes, en commençant par leur messagerie, et de garder à l’esprit qu’elle ne peut pas protéger une phrase de récupération ou une clé privée. Ne partagez jamais l’une ou l’autre avec qui que ce soit : aucun membre légitime du service d’assistance n’en a besoin. Évitez également de les conserver sous forme de captures d’écran ou dans des notes cloud. Vérifiez l’adresse d’un site avant de saisir un code. Le présent contenu ne constitue pas un conseil financier.

Conclusion

L’authentification à deux facteurs protège les comptes auxquels on se connecte via un service ; elle est particulièrement importante lorsqu’une plateforme conserve vos cryptos pour vous. Un portefeuille en auto-garde est protégé en contrôlant ses clés privées et sa phrase de récupération, qu’aucun second facteur ne peut protéger. Utiliser la 2FA pour les comptes liés à votre portefeuille et garder les clés elles-mêmes hors ligne et confidentielles permet de couvrir les deux aspects.

FAQ

1. L’authentification à deux facteurs protège-t-elle un portefeuille crypto en auto-garde ?
Non. La 2FA protège les comptes auxquels on se connecte via un service. Pour protéger un portefeuille en auto-garde, il faut garder ses clés privées et sa phrase de récupération secrètes et en sécurité.

2. Ai-je besoin de la 2FA pour un compte sur une plateforme qui conserve mes cryptos ?
Oui. Activez-la partout où elle est proposée, en commençant par vos comptes de messagerie et vos comptes financiers, comme le conseille CISA.

3. Quelqu’un peut-il prendre mes cryptos s’il possède ma phrase de récupération, mais pas mon téléphone ?
Oui. Une phrase de récupération permet de restaurer un portefeuille sur un autre appareil ; toute personne qui la possède peut donc contrôler les fonds, quel que soit votre téléphone ou le code d’accès de votre application.

4. Un portefeuille matériel est-il la même chose que l’authentification à deux facteurs ?
Non. Un portefeuille matériel conserve vos clés sur un appareil séparé qui signe les transactions. Le principe ressemble à celui de « quelque chose que vous possédez », mais le mécanisme est différent d’un code de connexion.

5. Qu’est-ce que la multisig, et est-ce comparable à la 2FA ?
La multisig exige plusieurs clés pour autoriser une transaction. Le principe est similaire, car un seul secret volé ne suffit pas, mais elle utilise des clés distinctes plutôt que des codes ou des connexions.