MetaMask peut être utilisé de façon sûre, mais un hot wallet de navigateur n’est pas le meilleur choix par défaut pour une épargne importante à long terme. Associez l’interface à un portefeuille matériel ou conservez l’épargne dans un cold wallet séparé, tout en réservant un compte hot limité aux activités Web3 courantes.
Commencer par le modèle de risque#
Le principal risque vient de l’environnement autour du wallet : sites de phishing, extensions malveillantes, malware et erreurs d’autorisation. Le mot de passe chiffre les données locales, mais ne protège pas une seed saisie sur un faux site.
Le contrôle final#
Choisissez le mode de stockage selon l’activité. Les actifs qui interagissent souvent peuvent nécessiter une interface hot ; ceux conservés pendant des mois n’ont pas besoin d’une exposition permanente au navigateur.
Configuration recommandée#
- Installez MetaMask uniquement depuis son lien officiel. Vérifiez l’éditeur, l’identifiant de l’extension ou de l’application et évitez les publicités de recherche.
- Conservez la phrase de récupération hors ligne. N’utilisez ni capture d’écran, ni note cloud, ni formulaire de site ; testez la sauvegarde avant d’augmenter le solde.
- Utilisez un profil de navigateur dédié. Limitez les autres extensions, désactivez la synchronisation inutile et réservez ce profil aux opérations Web3.
- Connectez un portefeuille matériel pour les comptes de valeur. Vérifiez l’action, le montant et l’adresse sur l’écran de l’appareil avant chaque validation.
- Contrôlez les permissions et verrouillez l’extension après utilisation. Déconnectez les sites localement et révisez séparément les allowances et opérateurs inscrits on-chain.
Les situations qui piègent les utilisateurs#
- Enregistrer la seed dans une note cloud. La compromission du compte ou d’un appareil synchronisé expose le secret racine, même si le mot de passe MetaMask est changé.
- Utiliser le compte coffre pour des dApps expérimentales. Une permission ou signature malveillante peut alors toucher directement l’épargne.
- Croire que le mot de passe permet de récupérer une phrase perdue. Il protège l’instance locale, mais ne remplace pas la sauvegarde de la seed.
- Signer à l’aveugle parce qu’un portefeuille matériel est connecté. L’appareil protège la clé, pas contre une instruction malveillante que l’utilisateur approuve.
Une bonne configuration ne se résume pas à une transaction ou un réglage réussi. Elle doit rester vérifiable, reproductible et récupérable si le navigateur ou le service environnant disparaît.
Confirmer le résultat#
Ne jugez pas la sécurité au seul message de réussite de l’interface. Testez les contrôles et conservez des éléments vérifiables après la fermeture de la page, sans enregistrer les secrets.
| Point de contrôle | Preuve à obtenir | Condition d’arrêt |
|---|---|---|
| Installer depuis le lien MetaMask officiel | Identifiant, éditeur et version rapprochés de la source officielle | Seed enregistrée dans des notes cloud |
| Conserver la phrase de récupération hors ligne | Test daté de restauration, phrase exclue du compte rendu | Compte coffre utilisé avec des dApps expérimentales |
| Utiliser un profil de navigateur dédié | Inventaire daté du profil, extensions et synchronisation | Mot de passe supposé pouvoir remplacer une phrase perdue |
Conservez les versions, résultats de test et identifiants de transaction utiles pour documenter la configuration, mais excluez les phrases de récupération, clés privées, mots de passe et codes d’authentification.
Questions fréquentes#
MetaMask détient-il mes cryptomonnaies ?
Non. Il gère les clés et affiche les actifs on-chain ; les soldes sont enregistrés sur la blockchain.
MetaMask peut-il récupérer ma seed ?
Un fournisseur de portefeuille en auto-garde ne peut généralement pas reconstituer pour vous une phrase de récupération perdue.
L’application mobile est-elle plus sûre que l’extension ?
Les surfaces d’attaque diffèrent, mais aucune ne supprime le phishing ni le risque lié à la sauvegarde. La sécurité de l’appareil et les usages restent déterminants.
Guides associés#
Sources#
- Ethereum.org: Security and Scam Prevention
- MetaMask: Wallet Security
- CISA: Avoiding Social Engineering and Phishing Attacks
Avertissement sur les risques : les opérations en cryptomonnaies peuvent être irréversibles. Ne communiquez jamais votre phrase de récupération, votre clé privée, votre mot de passe ou un code d’authentification, et vérifiez indépendamment chaque domaine et chaque demande affichée par votre portefeuille.
Règles éditoriales
Ce guide est éducatif et fondé sur des sources. Les mesures de sécurité, règles des plateformes et exigences légales peuvent évoluer ; vérifiez les étapes importantes auprès des sources officielles.
