Une autorisation illimitée permet à un contrat bénéficiaire de transférer le jeton approuvé jusqu’à un plafond extrêmement élevé sans redemander une allowance à chaque fois. Si ce bénéficiaire est malveillant ou compromis, tous les soldes actuels et futurs de ce jeton dans le wallet peuvent être exposés jusqu’à la révocation.
Procédure pas à pas#
- Examinez l’adresse du bénéficiaire, pas seulement le nom de l’application. Comparez le contrat exact et le réseau avec la documentation officielle, car une étiquette peut être imitée.
- Autorisez le montant exact lorsque l’interface le permet. Ajoutez une marge uniquement si elle correspond à l’opération prévue, plutôt qu’un plafond maximal permanent.
- Utilisez un portefeuille de transaction dont le solde est limité. Le compartimentage réduit la perte possible même si une permission reste active.
- Révisez les allowances après une activité ponctuelle. Confirmez la transaction terminée, puis diminuez ou révoquez l’autorisation devenue inutile.
- Révoquez les permissions obsolètes sur chaque blockchain active. Une révocation sur un réseau ne modifie pas l’état des autres chaînes où la même adresse a été utilisée.
L’idée essentielle#
La commodité persiste au-delà d’un seul swap. L’utilisateur peut oublier l’allocation pendant que l’application évolue, perd une clé administrateur ou subit un incident de front-end.
Séparez ce qui peut être vérifié avant l’action de ce qui ne pourra qu’être surveillé ensuite. Imposez des limites strictes à la seconde catégorie.
Quand s’arrêter ou changer de méthode#
Comparez la commodité à la perte maximale. Répéter des approbations limitées coûte davantage de gas, mais plafonne l’exposition et crée une nouvelle occasion de contrôler le bénéficiaire.
Les modes de défaillance à surveiller#
- Croire qu’un solde vide fait disparaître l’autorisation. Elle peut rester active et viser les nouveaux jetons reçus plus tard.
- Déconnecter le site au lieu de révoquer on-chain. La déconnexion supprime la session locale, pas l’allocation enregistrée dans le contrat du jeton.
- Accorder le plafond maximal à un routeur non vérifié. Une adresse trompeuse peut obtenir un pouvoir durable sur tous les jetons concernés.
- Signer en lot des révocations depuis un faux outil. Chaque action doit être lue, car une interface malveillante peut insérer de nouvelles permissions.
Les preuves à conserver#
Ne considérez pas le risque supprimé au seul message de réussite. Vérifiez l’état on-chain après chaque modification et conservez des éléments contrôlables une fois la page fermée.
| Point de contrôle | Preuve à obtenir | Condition d’arrêt |
|---|---|---|
| Examiner l’adresse du bénéficiaire plutôt que le seul nom | Contrat et réseau rapprochés de la documentation officielle | Solde vide supposé supprimer l’autorisation |
| Autoriser le montant exact lorsque c’est possible | Transaction et nouvelle allowance vérifiées dans l’explorateur | Site seulement déconnecté sans révocation on-chain |
| Utiliser un wallet de transaction peu alimenté | Solde limité et rôle du portefeuille documentés | Plafond maximal accordé à un routeur non vérifié |
Conservez les identifiants de transaction, adresses et captures datées utiles pour documenter les permissions, mais excluez les phrases de récupération, clés privées et codes d’authentification.
Questions fréquentes#
Une autorisation illimitée peut-elle dépenser d’autres jetons ?
Elle s’applique normalement au contrat de jeton et au bénéficiaire précisés. D’autres actifs peuvent toutefois avoir leurs propres permissions distinctes.
Une autorisation expire-t-elle automatiquement ?
Les allowances ERC-20 standard n’expirent généralement pas, sauf si le jeton ou le mécanisme de permit prévoit explicitement une échéance.
Permit2 est-il toujours illimité ?
Non. Les systèmes de permit peuvent prendre en charge des montants et durées limités, mais l’utilisateur doit lire la signature précise qui lui est présentée.
Guides associés#
- Révoquer une autorisation illimitée de jetons
- Vérifier l’historique des autorisations d’un portefeuille
Sources#
Avertissement sur les risques : les opérations en cryptomonnaies peuvent être irréversibles. Ne communiquez jamais votre phrase de récupération, votre clé privée, votre mot de passe ou un code d’authentification, et vérifiez indépendamment chaque domaine et chaque demande affichée par votre portefeuille.
Règles éditoriales
Ce guide est éducatif et fondé sur des sources. Les mesures de sécurité, règles des plateformes et exigences légales peuvent évoluer ; vérifiez les étapes importantes auprès des sources officielles.
