Les détenteurs de cryptomonnaies ont tendance à considérer un seul document comme sensible : la seed phrase (phrase de récupération). À juste titre — c'est la clé maîtresse, et la saisir dans n'importe quelle application est une erreur, peu importe l'application. Mais c'est rarement la seule trace écrite. Il y a généralement un export keystore d'un portefeuille logiciel, un dossier de codes de secours à deux facteurs d'un échange, une note indiquant quel portefeuille matériel contient quelles cryptomonnaies, peut-être un historique de transactions exporté pour les impôts. Tout cela se trouve quelque part, et ce "quelque part" est souvent l'application Fichiers d'un téléphone, une entrée dans Notes, ou un dossier dans Dropbox auquel personne ne prête attention.

Il s'agit de cette deuxième catégorie — les fichiers qui valent la peine d'être chiffrés, et non la phrase qui ne devrait jamais se trouver dans une application.

Ce que la règle de la seed phrase protège réellement

La raison pour laquelle personne de sérieux ne vous conseille de stocker une seed phrase numériquement n'est pas de la superstition. Une phrase saisie dans n'importe quel logiciel, aussi bien intentionné soit-il, se trouve quelque part où une capture d'écran, un historique de presse-papiers, une note synchronisée ou un appareil compromis peut l'atteindre. Le format papier ou métal, conservé hors ligne, élimine toute cette catégorie de risques. Ce conseil ne change pas ici, et rien dans cet article ne va à son encontre.

Ce qu'elle ne couvre pas, c'est tout le reste dans le tiroir de fichiers d'un détenteur de cryptomonnaies.

Les fichiers qui nécessitent réellement un verrou

Les exports Keystore (fichiers keystore.json, UTC--...). Le fichier keystore d'un portefeuille logiciel est lui-même chiffré, protégé par son propre mot de passe. Perdre le fichier seul ne donne pas vos cryptomonnaies à quelqu'un. Mais il identifie le portefeuille, et il suffit d'un mot de passe pour qu'il soit utile à quiconque le possède — il vaut la peine de le garder à l'écart de quiconque ne devrait pas savoir qu'il existe, et encore moins essayer de l'ouvrir.

Les codes de secours à deux facteurs des échanges. Chaque plateforme d'échange prenant en charge la 2FA vous donne des codes de secours à usage unique pour le cas où vous perdriez l'appareil exécutant votre authentificateur. Ces codes, se trouvant dans une capture d'écran ou une note en texte clair, constituent une voie directe de récupération de compte pour quiconque les trouve.

Les notes de portefeuille matériel. Quel appareil contient quelles cryptomonnaies, les numéros de série, les rappels de code PIN qui ne sont pas le code PIN lui-même. Ce n'est pas catastrophique en soi, mais c'est une reconnaissance utile pour un vol ciblé, surtout combinée avec autre chose sur le même appareil.

Les exports d'historique de transactions. La saison des impôts produit des CSV et PDF contenant des adresses de portefeuilles, des montants et des dates. Ce n'est la clé de rien, mais c'est une image claire de ce que vous possédez et d'environ ce que cela vaut — ce n'est pas quelque chose à laisser traîner dans un dossier Téléchargements.

Pourquoi le cloud est le mauvais endroit pour tout cela, non chiffré

L'instinct de sauvegarder ces fichiers quelque part hors de l'appareil est correct. Les appareils se perdent, sont volés ou meurent simplement. L'erreur est de les télécharger tels quels. Un fichier keystore ou une capture d'écran de codes de secours se trouvant dans Dropbox ou Google Drive est lisible par le fournisseur, et par quiconque s'introduit chez le fournisseur ou prend le contrôle du compte sous lequel il est stocké — la même faille abordée plus en détail dans pourquoi vos photos ne sont pas en sécurité dans le cloud.

Chiffrer le fichier sur l'appareil avant qu'il n'aille nulle part comble cette faille sans renoncer à la sauvegarde elle-même. La copie cloud devient un texte chiffré : inutile à lire, mais toujours là si l'appareil d'origine a disparu.

Où Vaultine intervient

Vaultine chiffre chaque fichier individuellement avec AES-256-GCM sur l'appareil, avec la clé dérivée de votre propre schéma ou code PIN — jamais de votre seed phrase crypto, jamais rien de saisi à votre place. Il est conçu pour contenir exactement la catégorie de fichiers dont parle cet article : les exports keystore, les codes de secours 2FA, les notes de portefeuille matériel, les historiques de transactions. Importez-les, et ils sont illisibles sans l'identifiant propre à votre coffre-fort, qu'ils restent sur l'appareil ou soient sauvegardés via votre propre Dropbox chiffré.

Le même coffre-fort fonctionne sur iPhone, Mac, Android et Windows, et une phrase de récupération de 12 mots permet de récupérer le coffre-fort lui-même sur un nouvel appareil si vous perdez celui sur lequel il se trouvait — restaurant vos fichiers, pas vos cryptomonnaies. La version gratuite couvre un coffre-fort, jusqu'à 10 fichiers ; Pro ajoute des coffres-forts illimités, des fonctionnalités Decoy Vault et Duress Vault, et la sauvegarde Dropbox chiffrée pour $1.99 par mois, $14.99 par an, ou $39.99 une fois pour une vie ($29.99 sur Windows).

Ce qu'il ne fera pas : demander, stocker ou transmettre une seed phrase, ou remplacer l'élément sécurisé d'un portefeuille matériel. C'est un travail différent, et les deux ne sont pas en concurrence — voir comment fonctionne réellement la phrase de récupération de Vaultine pour le mécanisme sur lequel cela repose, et 5 types de fichiers que vous ne devriez jamais garder non chiffrés pour la version plus large de ce même argument.

Pour commencer

Triez d'abord ce que vous avez réellement : la seed phrase reste sur papier ou sur métal, hors ligne, un point c'est tout. Tout le reste — fichiers keystore, codes de secours, notes de portefeuille, exports fiscaux — est candidat à un coffre-fort chiffré plutôt qu'à un dossier en texte clair. Vous pouvez essayer la version gratuite de Vaultine sur vaultine.app.