Qu’est-ce qu’une phrase de récupération et en quoi diffère-t-elle d’un mot de passe ?

Configurer un portefeuille crypto pour la première fois se termine presque toujours par une liste de 12 ou 24 mots aléatoires et la consigne de les noter soigneusement. Il est tentant de considérer cela comme un simple mot de passe à retenir, mais cette comparaison ne rend pas vraiment compte du rôle d’une phrase de récupération. C’est en comprenant mal cette différence que commencent beaucoup d’erreurs coûteuses.

Ce que génère réellement une phrase de récupération

Une phrase de récupération est une représentation lisible par un humain de la clé maîtresse dont sont dérivées mathématiquement les clés privées d’un portefeuille. Saisir la même phrase de récupération dans n’importe quel portefeuille compatible régénère exactement les mêmes clés privées et, avec elles, l’accès complet à tous les fonds contrôlés par ces clés. Ce n’est pas un identifiant qui donne accès à un compte existant hébergé quelque part : c’est la source même à partir de laquelle le compte est créé.

Pourquoi elle n’a rien d’un mot de passe

Un mot de passe fonctionne généralement avec une autre couche de sécurité : un nom d’utilisateur, un compte associé à un service précis et souvent une deuxième étape de vérification. En cas d’oubli, une option « réinitialiser le mot de passe » existe généralement ; elle est liée à une adresse e-mail ou à une vérification d’identité gérée par le fournisseur du service.

Une phrase de récupération ne bénéficie d’aucune protection équivalente. Il n’existe aucun compte permettant de la réinitialiser, aucune entreprise ne la gère et aucune vérification d’identité ne peut la remplacer. Toute personne qui possède la phrase de récupération peut régénérer les clés privées qu’elle produit. Et toute personne qui ne la possède pas, y compris son propriétaire initial, ne dispose d’aucun autre moyen de les régénérer.

Ce que cela implique en pratique

Cela a deux conséquences directes quant à la manière dont une phrase de récupération doit être traitée. Premièrement, son propriétaire doit pouvoir la récupérer sans dépendre d’un tiers. C’est pourquoi il faut la noter et la conserver physiquement, plutôt que de compter sur sa mémoire ou de la stocker d’une façon qui risque de la faire disparaître avec un seul appareil. Deuxièmement, elle doit être totalement inaccessible à toute autre personne : la posséder revient, dans les faits, à posséder les fonds qu’elle contrôle, puisqu’aucune étape d’authentification distincte ne fait obstacle à leur accès.

Pourquoi « il suffit de la retenir » n’est pas une vraie stratégie

Contrairement à un mot de passe, qui peut être réinitialisé en cas d’oubli, il n’existe aucun moyen de récupérer une phrase de récupération oubliée si aucune copie physique n’a été conservée. C’est précisément pourquoi la procédure de configuration de tout portefeuille légitime demande aux utilisateurs de noter immédiatement leur phrase au lieu de compter sur leur mémoire : un simple oubli peut avoir des conséquences irréversibles, contrairement à l’oubli d’un mot de passe.

Rappel de WEEX : considérez une phrase de récupération comme irrécupérable, car elle l’est

WEEX rappelle aux utilisateurs qu’une phrase de récupération doit être notée sur un support physique dès sa création, puis conservée en lieu sûr, puisqu’il n’existe aucun équivalent à la réinitialisation d’un mot de passe en cas de perte. Elle ne doit jamais être saisie sur un site Web ou dans une application, ni être communiquée à qui que ce soit. En effet, contrairement à un mot de passe, aucune étape de vérification distincte ne protège les fonds auxquels elle donne accès.

Conclusion

À première vue, une phrase de récupération et un mot de passe peuvent sembler similaires : il s’agit dans les deux cas d’une suite de caractères à retenir. Mais leur fonctionnement est totalement différent. Un mot de passe donne accès à un compte géré par quelqu’un d’autre et peut généralement être réinitialisé. Une phrase de récupération génère les clés privées qui contrôlent directement les fonds, sans intervention d’un tiers ni possibilité de récupération en cas de perte.

FAQ

1. Peut-on réinitialiser une phrase de récupération comme un mot de passe oublié ?
Non. Aucun compte ni tiers ne gère une phrase de récupération. Si elle est perdue et qu’aucune copie de sauvegarde n’existe, il est impossible de récupérer les fonds qu’elle contrôlait.

2. Pourquoi les portefeuilles utilisent-ils 12 ou 24 mots plutôt qu’un mot de passe classique ?
Le nombre de mots correspond à une quantité précise d’entropie cryptographique utilisée pour générer les clés privées ; il ne s’agit pas d’un choix arbitraire de longueur de mot de passe.

3. Est-il sûr de conserver une phrase de récupération dans un gestionnaire de mots de passe ?
Ce n’est généralement pas recommandé. Une phrase de récupération contrôle directement les fonds, sans étape de vérification distincte. La stocker sous forme numérique réintroduit une exposition en ligne que le stockage physique permet d’éviter.

4. La phrase de récupération change-t-elle si j’utilise souvent le portefeuille ?
Non. La phrase de récupération créée lors de la configuration initiale reste la même pendant toute la durée de vie du portefeuille. Elle ne change ni selon l’utilisation ni selon l’activité des transactions.

5. Que se passe-t-il si je saisis ma phrase de récupération sur le mauvais site Web ?
Toute personne qui la reçoit obtient un accès complet aux fonds qu’elle contrôle. Il suffit de posséder la phrase de récupération pour régénérer les clés privées ; aucune vérification supplémentaire n’est nécessaire.