Alerte sécurité
Connecter son portefeuille : qu’autorise-t-on vraiment ?
Un site demande de connecter votre portefeuille. Puis une autre demande apparaît : approuver, signer ou choisir une limite de dépense. Ce sont des actions différentes. Comprendre l’autorisation compte davantage que passer rapidement à l’écran suivant.
La connexion est une première demande
Un portefeuille est une application ou un appareil permettant de contrôler des actifs numériques. Une connexion simple peut laisser un site voir votre adresse publique et proposer des opérations. Cette adresse n’est pas votre clé privée. Cette connexion est différente d’une permission permettant à un programme de déplacer vos jetons.
Un site peut néanmoins afficher plusieurs demandes successives. Le deuxième écran peut avoir des conséquences très différentes du premier. Lisez donc chaque demande, sans vous fier au bouton qui a lancé le processus. Cet article traite des autorisations de jetons courantes sur Ethereum et des réseaux comparables ; les écrans et les fonctions varient selon le portefeuille.
L’autorisation de dépense donne une capacité au programme
Un jeton est une unité numérique enregistrée sur une blockchain. Certains services utilisent un smart contract : un programme fonctionnant sur cette blockchain. Pour effectuer une opération convenue avec vos jetons, ce programme peut demander l’autorisation d’utiliser un type de jeton à votre place.
Cette permission peut comprendre une limite de dépense. Dans un exemple fictif, vous souhaitez utiliser dix jetons, mais la demande porte sur un montant beaucoup plus élevé. Cette différence mérite votre attention. Une limite plus basse peut réduire l’ampleur possible d’une erreur ; elle ne rend pas un service inconnu fiable. Vérifiez le programme autorisé et le jeton concerné.
Une signature peut faire plus que vous identifier
Une signature numérique permet de confirmer des données avec votre portefeuille. Il s’agit parfois de se connecter à un site. D’autres messages signés peuvent autoriser une dépense de jetons. Une demande sans frais de réseau immédiats n’est donc pas automatiquement sans risque. Ce sont les données et les pouvoirs accordés qui comptent.
Lisez si la demande concerne une connexion, un transfert ou un accès à vos actifs. Si la description, le montant ou les adresses ne sont pas clairs, arrêtez-vous et consultez la documentation officielle du portefeuille. Un message exigeant une signature rapide pour recevoir une récompense ne dispense pas de comprendre la demande.
Déconnecter n’annule pas toutes les autorisations
Supprimer un site de la liste des applications connectées met fin à cette connexion. Cela n’annule pas automatiquement les autorisations de dépense déjà accordées. Un programme peut conserver l’accès prévu par les conditions de son autorisation. La documentation de MetaMask explique expressément cette différence. Fermer un onglet ne doit pas non plus être considéré comme une annulation.
Révoquer une autorisation signifie mettre fin à cette permission précise. Pour beaucoup d’autorisations de jetons, cela nécessite une nouvelle opération sur la blockchain, avec d’éventuels frais de réseau. Les jetons déjà déplacés ne sont pas rendus. Une autorisation inscrite sur la blockchain et un message signé encore utilisable ne sont pas toujours équivalents : un seul bouton ne règle pas nécessairement toutes les situations.
Prenez une courte habitude de lecture
Avant d’approuver, posez-vous quatre questions : quel site est-ce que j’utilise, que veux-je lui faire faire, quels actifs le programme pourrait-il utiliser et quelle est l’étendue de sa permission ? Un beau design ou un nom connu dans un résultat de recherche ne répond pas à ces questions. Ouvrez le service officiel vous-même et vérifiez son adresse.
Examinez de temps en temps les permissions devenues inutiles, avec les fonctions officielles du portefeuille ou un outil vérifié indépendamment. Ne suivez pas un message inattendu proposant un lien urgent pour tout révoquer. Si votre phrase de récupération a été divulguée, le problème dépasse une autorisation superflue. Consultez alors le plan d’urgence du guide existant.
Sources originales et lectures utiles
- MetaMask — connexions et permissions des applications (EN)
- MetaMask — révoquer les autorisations de jetons (EN)
- Ethereum ERC-2612 — autorisations par messages signés (EN)
Sources vérifiées le .