Conseils de sécurité de base pour les utilisateurs de MetaMask

remarque

Nouveau dans le domaine de la crypto et du Web3 ?

Rendez-vous sur MetaMask Learn pour profiter d’une expérience d’apprentissage simple conçue spécifiquement pour les nouveaux arrivants dans le domaine du Web3. Ce module d’apprentissage complètement gratuit est disponible en plusieurs langues et comprend des outils utiles tels que des simulations pour vous aider à vous familiariser avec MetaMask.

Qu'est-ce qu'une phrase secrète de récupération et comment la sauvegarder ?

L’utilisation d’une phrase secrète ou d’une phrase secrète de récupération (PSR) est une norme utilisée par la plupart des portefeuilles crypto. Une phrase secrète de récupération est une liste de mots générés de manière aléatoire lors de la création de votre portefeuille MetaMask et qui donne accès à tous les comptes (adresses) de ce portefeuille.

Lors de la création de votre premier portefeuille, vous serez invité à noter votre phrase de secrète récupération ou à connecter votre compte Google ou Apple à MetaMask. Bien que les deux options soient associées à une phrase secrète de récupération, elles fonctionnent différemment en arrière-plan.

Si vous ne connectez pas votre compte Google ou Apple à MetaMask, MetaMask n’aura pas accès à vos données personnelles ou privées sur nos serveurs. Tout est crypté dans votre navigateur et protégé par votre phrase secrète de récupération. Si vous perdez vos comptes MetaMask et devez les restaurer, vous ne pouvez le faire qu’à l’aide de votre phrase secrète de récupération, à laquelle MetaMask n’a pas accès. Dans ce cas, votre phrase secrète de récupération est le seul et unique moyen d’accéder à vos comptes et si vous la perdez vous perdrez définitivement l’accès à vos comptes.

Si vous connectez votre compte Google ou Apple à MetaMask, votre phrase secrète de récupération est chiffrée, fragmentée et répartie sur cinq nœuds différents. Seuls votre compte Google ou Apple et votre mot de passe permettent d’accéder aux cinq fragments et de les déchiffrer. Dans ce cas, votre compte Google/Apple et votre mot de passe constituent vos deux points de défaillance. Pour cette raison, veillez à définir un mot de passe MetaMask différent de celui de votre compte Google ou Apple. Les deux mots de passe doivent être complètement différents l’un de l’autre. Nous vous recommandons également de conserver votre phrase secrète de récupération dans un endroit sûr, au cas où vous perdriez votre mot de passe ou l’accès à votre compte Google/Apple.

Raisons pour lesquelles vous devriez conserver votre phrase secrète de récupération dans un endroit sûr

MetaMask est un portefeuille de détention en propre. Toute personne ayant accès à une phrase secrète de récupération a accès à tous ses comptes. Si votre appareil est endommagé, perdu, volé ou subit une corruption de données, l’équipe d’assistance de MetaMask n’aura aucun moyen de récupérer votre phrase secrète de récupération. Pour savoir comment sécuriser votre phrase secrète de récupération, consultez notre article ici.

Vous ne devez jamais divulguer votre phrase secrète de récupération ou vos clés privées

Toute personne disposant de votre phrase secrète de récupération ou de vos clés privées peut prendre le contrôle de vos actifs et transférer des jetons depuis vos comptes. Ne les partagez jamais avec qui que ce soit, y compris l'équipe de MetaMask ou toute personne prétendant nous représenter.

Nous ne vous demanderons jamais de fournir votre phrase secrète de récupération. Si quelqu’un prétend le contraire, refusez de la lui fournir. Si vous entrez en contact avec quelqu’un qui prétend être un membre de l’équipe MetaMask ou du service d’assistance de MetaMask, ou qui vous demande votre phrase secrète de récupération et/ou vos clés privées, signalez-le en contactant le service d’assistance. Toute personne qui vous demande votre phrase secrète de récupération ou vos clés privées essaie probablement de vous arnaquer.

Cela s’applique également aux sites Web et aux applications. Les seules situations légitimes où vous devrez saisir votre phrase secrète de récupération sont les suivantes :

• Lorsque vous créez votre portefeuille pour la première fois, car vous devez saisir certains mots de la phrase secrète de récupération pour confirmer que vous l’avez bien enregistrée.
• Si vous restaurez votre portefeuille sur un nouvel appareil ou à partir d’une nouvelle installation, ou si vous réinitialisez votre mot de passe (un processus similaire).

Il existe cependant des escrocs qui tentent de simuler ces deux situations. Pour plus d’informations, consultez : Comment reconnaître le vrai MetaMask ?

Si vous détenez une grande quantité de jetons sur votre ou vos comptes, envisagez d’acheter un portefeuille matériel.

Les portefeuilles physiques sont généralement considérés comme le moyen le plus sûr de stocker vos jetons. Ils sont souvent appelés portefeuilles « froids », car ils sont déconnectés de l'internet la plupart du temps, voire tout le temps. Cette approche signifie que vos clés privées ne sont jamais accessibles à des acteurs malveillants en ligne, le portefeuille physique devant lui-même signer (autoriser) toute transaction.

Ne communiquez jamais vos mots de passe

Vous ne devriez jamais partager vos mots de passe avec qui que ce soit, mais dans le cadre de cet article, nous nous concentrerons sur votre mot de passe MetaMask. Si vous connectez votre compte Google ou Apple à MetaMask, votre mot de passe est requis pour accéder à vos comptes.

Le service d’assistance de MetaMask ne vous demandera jamais de fournir votre mot de passe. Si quelqu’un a accès à votre mot de passe et à votre compte Google/Apple, il peut accéder à tous vos comptes MetaMask.

Si votre compte Google ou Apple n’est pas connecté à MetaMask, votre mot de passe fonctionne différemment. Le simple fait d’avoir accès à votre mot de passe ne permet pas d’accéder à vos comptes. Cependant, nous vous recommandons tout de même de protéger votre mot de passe et d’adopter de bonnes pratiques en matière de gestion des mots de passe.

Bonnes pratiques en matière de gestion des mots de passe

• Utilisez un mot de passe robuste, composé d’une combinaison de lettres majuscules et minuscules, de chiffres et de caractères spéciaux.
• Utilisez un mot de passe différent pour chaque compte.
• Conservez vos mots de passe dans un endroit sûr et hors ligne. Les services cloud et les gestionnaires de mots de passe ne sont pas très sécurisés et peuvent être piratés.
• Ne communiquez JAMAIS votre mot de passe à qui que ce soit.

Il n'y a jamais trop de mesures de sécurité. Le guide de base présenté ici n'est en aucun cas exhaustif. Apprenez toujours comment mieux protéger vos jetons, en vous informant auprès de la communauté, dans des documents informatifs ou sur des canaux de discussion.

Ressources supplémentaires

Voici quelques ressources supplémentaires pour assurer la sécurité de votre ordinateur :

• Windows - Assurez la sécurité de votre ordinateur à la maison
• Mac - Configurez votre Mac pour qu'il soit sécurisé

Que sont les approbations de jetons et pourquoi sont-elles importantes ?

Les approbations de jetons accordent à une dapp l’autorisation d’accéder à un type spécifique de jetons et de transférer un certain nombre de ces jetons hors de votre portefeuille. Si vous ne faites pas attention aux approbations de jetons que vous accordez dans votre portefeuille MetaMask, cela pourrait potentiellement constituer un vecteur d’attaque permettant de vider complètement votre portefeuille.

Pour éviter cela, essayez de suivre ces recommandations :

• Vérifiez toujours ce que demande réellement une dapp avant de cliquer sur « approuver ». Dans MetaMask, vous pouvez également ajuster le nombre de jetons auquel la dapp peut accéder. En accordant à une dapp l’autorisation d’accéder à seulement 10 % de vos jetons, les conséquences en cas d’arnaque seraient bien moins préjudiciables que si vous lui aviez accordé un accès illimité à vos jetons.
• Faites vos propres recherches. Vous devriez prendre l’habitude d’effectuer une vérification préalable de toute application décentralisée avant d’interagir avec elle. Soyez attentif aux fautes d’orthographe, aux images ou logos de mauvaise qualité et à tout autre indice révélateur.
• N’oubliez pas que si quelque chose semble trop beau pour être vrai, c’est probablement le cas. Si l’on vous propose un taux de rendement annuel de 498 563 %, il s’agit probablement d’une arnaque.

Pour plus d’informations sur les approbations de jetons et leur gestion, veuillez consulter cet article.