Restaurer sa seed chez un autre fabricant : ce que BIP39 garantit et ce qu'il ne garantit pas

Qui conserve lui-même ses cryptoactifs achète le plus souvent, pour ce faire, un appareil vendu par une entreprise. Cette entreprise peut commettre des erreurs, perdre des données clients, arrêter un modèle ou, un jour, cesser d'exister. Il en découle une question d'une gêne très concrète : votre accès aux avoirs dépend-il de cette entreprise ?

La réponse ne figure pas dans le marketing des fournisseurs, mais dans trois spécifications techniques consultables publiquement depuis plus de dix ans. Elles s'appellent BIP39, BIP32 et BIP44. Qui comprend ce qui y est consigné peut trancher la question du fabricant sans avoir à croire une promesse publicitaire. Et qui connaît les limites de ces standards comprend aussi pourquoi une restauration sur du matériel d'une autre marque échoue malgré tout régulièrement dans la pratique.

Ce texte explique les deux aspects : ce que le standard vous garantit et les endroits où il vous laisse seul. À la fin figure un test que vous pouvez mener un soir tranquille et qui vous donne une réponse solide plutôt qu'une supposition.

Dépendance au fabricant des portefeuilles matériels : ce qui tient réellement au fournisseur

Un portefeuille matériel est un petit ordinateur avec une seule tâche. Il produit une valeur aléatoire, la conserve à l'abri et signe avec elle des transactions sans jamais la divulguer. Ce qui dépend du fournisseur, c'est le micrologiciel, le logiciel d'accompagnement installé sur l'ordinateur et le service client. La clé elle-même ne dépend du fournisseur que si l'appareil s'écarte des standards ouverts.

Cette distinction est tout le cœur du sujet. Micrologiciel, logiciel d'accompagnement et service client sont remplaçables. Une clé qui n'existerait que dans un format propriétaire ne le serait pas. C'est précisément pourquoi il vaut la peine de lire la spécification avant que de l'argent ne rejoigne un appareil.

BIP39 : comment 128 à 256 bits de hasard deviennent douze à 24 mots

BIP39 décrit comment une valeur initiale aléatoire est traduite en une suite de mots mémorisable. La spécification impose que l'entropie de départ soit un multiple de 32 bits et se situe entre 128 et 256 bits. À partir de cette entropie, une somme de contrôle est formée en ajoutant les premiers ENT/32 bits de son empreinte SHA256. Le résultat se décompose en groupes de onze bits, et chaque groupe, en tant que nombre compris entre 0 et 2047, renvoie à une entrée d'une liste de 2048 mots. Le texte de la spécification est public et assez court pour être lu en une soirée.

D'où les longueurs bien connues. 128 bits d'entropie plus quatre bits de contrôle donnent douze mots ; 256 bits plus huit bits de contrôle donnent 24 mots. Entre les deux se trouvent les variantes plus rares à 15, 18 et 21 mots. Une suite de 24 mots emploie donc la même technique qu'une suite de douze, simplement avec davantage de hasard de départ.

La phrase décisive pour la question du fabricant vient ensuite. La valeur initiale proprement dite est calculée à partir de la suite de mots au moyen de la fonction PBKDF2 : la suite de mots comme mot de passe, la chaîne de caractères « mnemonic » assortie d'une phrase de passe facultative comme sel, 2048 itérations, HMAC-SHA512 comme fonction de base, 512 bits en résultat. Ce procédé est entièrement déterministe et ne comporte, à aucun endroit, d'identifiant de l'appareil, du micrologiciel ou du fournisseur. Saisir les mêmes mots dans un autre appareil qui met en œuvre le même standard donne la même valeur de 512 bits. Telle est la garantie dont il est question ici, et elle est de nature mathématique.

La somme de contrôle intercepte les fautes de frappe mais ne corrige rien

La somme de contrôle est courte, et la spécification énonce elle-même ce qui en découle : environ une erreur aléatoire sur 256 passe inaperçue, et le procédé n'offre aucune aide à la correction. Concrètement, un mot mal recopié provoque en règle générale un message d'erreur, mais pas systématiquement. Dans le cas défavorable, l'appareil accepte la saisie et produit un portefeuille tout autre, et vide. C'est exactement pour cela que tout sauvegarde doit s'accompagner d'un contrôle au cours duquel les mots sont réellement saisis une fois.

La liste de mots fait partie du procédé

Parce que le calcul part de la suite de mots elle-même et non de l'entropie d'origine, la même suite de nombres produit, dans une liste de mots d'une autre langue, une valeur initiale entièrement différente. La spécification le signale expressément et recommande pour cette raison la liste anglaise. Qui a constitué une sauvegarde dans la liste française ou japonaise aura besoin plus tard d'un appareil connaissant précisément cette liste. Avec la liste anglaise, le problème ne se pose pratiquement jamais, car toute mise en œuvre sérieuse la prend en charge.

La phrase de passe est un mot qui ne figure dans aucune sauvegarde

La phrase de passe facultative entre dans le calcul comme composante du sel. Chaque phrase de passe transforme ainsi la même suite de mots en un portefeuille propre et parfaitement valide. Une faute de frappe dans la phrase de passe ne produit aucun message d'erreur. Elle produit un portefeuille différent, et vide, car le procédé est tout bonnement incapable de distinguer entre « faux » et « autre ».

Pour une restauration sur du matériel d'une autre marque, c'est l'un des pièges les plus fréquents. Le nouvel appareil accepte la suite de mots, affiche un portefeuille vide et paraît ainsi prouver que la portabilité, décidément, ne fonctionne pas. En réalité, il ne manque qu'un élément, que l'utilisateur a lui-même défini et qui n'est consigné nulle part. La façon de conserver utilement une phrase de passe sans la ranger à côté des mots, nous l'avons décrite le 8 août 2026 dans notre article sur la conservation sûre de la phrase de récupération.

BIP32 et le chemin de dérivation : pourquoi une même seed donne des adresses différentes

La valeur initiale de 512 bits n'est pas encore une adresse. BIP32 décrit comment en dériver hiérarchiquement un nombre quelconque de paires de clés, et BIP44 donne à cette dérivation un ordre fixe à cinq niveaux : finalité, type de monnaie, compte, indicateur de change et index d'adresse. Cela s'écrit sous forme d'une suite de nombres séparés par des barres obliques, ce que l'on appelle le chemin de dérivation.

Les cinq niveaux d'un chemin BIP44

Un chemin typique s'écrit 44'/0'/0'/0/0 et désigne la première adresse du premier compte bitcoin au format d'adresse classique. L'apostrophe marque un niveau durci, à partir duquel les clés subordonnées ne peuvent pas être calculées sans la valeur initiale. Le premier nombre correspond au format d'adresse : 44 pour la forme classique, 49 pour la variante SegWit imbriquée, 84 pour le SegWit natif. Que ce seul nombre change, et toutes les adresses situées en dessous changent avec lui.

C'est le point le plus important en pratique de ce texte. Deux appareils peuvent traiter la même seed de manière parfaitement correcte et afficher malgré tout des adresses entièrement différentes, parce qu'ils ont des chemins préréglés distincts. La seed est juste à chaque fois. Un avoir n'apparaît que sur le chemin où il se trouve effectivement.

Le chemin de dérivation est la première cause d'un portefeuille apparemment vide

À quel point la pratique s'écarte du standard, un fabricant le décrit avec une remarquable franchise dans sa propre documentation destinée aux développeurs. La documentation de Ledger Live consacrée aux chemins de dérivation indique que tous les portefeuilles, loin de là, ne respectent pas BIP44, que beaucoup demandent directement un chemin à l'utilisateur, et que de nombreuses exceptions ont été intégrées au fil du temps pour absorber ces écarts. Pour Ethereum, le logiciel parcourt ainsi les adresses sous 44'/60'/0'/x et compte jusqu'à dix comptes vides avant d'interrompre la recherche.

Le même document contient la phrase dont dépend la conséquence pratique : qui se retrouve bloqué sur un chemin inhabituel et souhaite utiliser le logiciel doit déplacer ses avoirs vers un chemin usuel à l'aide de l'outil d'origine. Cela ne décrit pas la défaillance d'un fournisseur en particulier. Cela décrit un état de fait avec lequel toute la filière compose, les conventions ne s'étant imposées qu'après les premières mises en œuvre.

Pour vous, il en découle une règle simple : le chemin de dérivation fait partie de la sauvegarde. Une suite de mots dépourvue de note indiquant quel appareil et quel format d'adresse étaient en usage reste récupérable, mais coûte du temps de recherche le jour venu. Quels appareils préconfigurent quels chemins, et avec quelle transparence le logiciel d'accompagnement les traite, se consulte dans notre comparatif des portefeuilles matériels, avant que le choix d'un modèle ne soit arrêté.

SLIP-0044 attribue à chaque chaîne son propre numéro dans le chemin

Le deuxième niveau du chemin est le type de monnaie. Quel numéro correspond à quelle chaîne figure dans une liste publique nommée SLIP-0044. Le bitcoin y porte le 0, le litecoin le 2, le dogecoin le 3, l'ether le 60, le bitcoin cash le 145, Solana le 501 et la chaîne BNB le 714. La liste compte désormais plusieurs milliers d'entrées et s'allonge à chaque nouvelle chaîne.

En pratique, cela signifie deux choses. Les avoirs des différentes chaînes se logent, à partir d'une même seed, dans des branches distinctes, raison pour laquelle un appareil qui ne connaît pas une chaîne ne peut pas non plus en afficher le solde. Et certaines chaînes ont changé de type de monnaie au cours de leur histoire, ou en font coexister plusieurs. Qui constate la disparition d'un avoir après un changement d'appareil devrait connaître cette liste avant de conclure à une perte.

Le gap limit explique pourquoi un logiciel passe à côté d'un avoir bien présent

Même à l'intérieur du bon chemin, un piège guette. Un logiciel de portefeuille parcourt les comptes et les adresses dans l'ordre et met fin à la recherche dès qu'un certain nombre d'adresses consécutives reste sans encaissement. Cette limite d'arrêt s'appelle le gap limit. BIP44 prescrit expressément ce comportement, faute de quoi la recherche ne s'achèverait jamais.

La conséquence est fâcheuse. Si une adresse située loin dans la liste a été utilisée manuellement par le passé, un logiciel conforme au standard peut la manquer et afficher un compte vide. L'avoir demeure sur la chaîne et reste visible via n'importe quel explorateur de blocs ; c'est seulement la logique de recherche qui ne va pas assez loin. Le remède tient dans une application permettant de relever le gap limit ou de saisir un chemin à la main. Qui s'est trouvé une fois dans cette situation comprend pourquoi les utilisateurs expérimentés ne piochent pas leurs adresses au hasard au milieu d'une liste.

Là où le standard s'arrête : parts de Shamir, multisignature et formats propriétaires

Toute sauvegarde n'est pas une suite de mots BIP39, même si elle en a l'air au premier coup d'œil. Trois cas méritent d'être distingués, car ils limitent la portabilité à des degrés différents.

Le premier est le procédé de Shamir selon SLIP-0039, dans lequel le secret est découpé en plusieurs parts dont un nombre minimal suffit à la restauration. De telles parts ressemblent à une suite de mots, mais relèvent d'un autre procédé et ne fonctionnent que sur des appareils maîtrisant précisément ce procédé. Le deuxième cas concerne les montages multisignature, où plusieurs clés signent conjointement : il vous faut alors, en plus des mots, le descripteur de portefeuille avec toutes les clés publiques et la règle fixant le nombre de signatures requises. Sans ce fichier, l'avoir demeure hors d'atteinte avec les seuls mots, et l'expérience montre qu'il se perd plus souvent que les mots eux-mêmes. Le troisième cas réunit les appareils qui sauvegardent la clé exclusivement dans un format propriétaire et ne la restituent jamais sous forme de suite de mots lisible.

Avant l'achat, une seule question permet de trancher : l'appareil délivre-t-il une suite de mots BIP39 lisible sur du matériel d'une autre marque ? Si la notice ne mentionne qu'un terme propriétaire pour la sauvegarde, sans renvoi à un standard ouvert, il y a lieu d'y regarder de plus près.

Ce qu'une défaillance de fabricant signifie en pratique, et ce qu'elle ne signifie pas

Les publications de cette rédaction comptent, ces dernières semaines, plusieurs cas dans lesquels un fournisseur a déçu ses clients. Le 31 juillet 2026, nous avons rendu compte d'une faille de micrologiciel rendant calculables les seeds produites. Le 13 août 2026, il était question d'une fuite de données chez un prestataire, qui a exposé les noms et adresses de domicile des clients d'un fabricant de portefeuilles. Du côté de la conservation par les plateformes de négociation, la question se pose de manière plus aiguë encore, car s'y ajoute, outre la technique, le droit des faillites ; à quelles conditions des jetons conservés peuvent être revendiqués hors de la masse, nous l'avons exposé séparément le 18 août 2026.

Pour la conservation par soi-même, un bilan sobre s'en dégage. Une fuite de données touche votre vie privée et accroît le risque de tentatives d'escroquerie ciblées par courrier, téléphone ou messagerie, mais elle n'atteint pas votre clé. L'insolvabilité d'un fabricant met fin à l'entretien du micrologiciel et au service client, mais laisse intacte une seed conforme au standard ; l'appareil devient un modèle en fin de vie, l'avoir non. La situation ne devient grave que dans le troisième cas, celui d'une faille dans la production de la valeur aléatoire. Aucun standard n'y remédie. Il ne reste alors qu'à migrer vers une seed nouvellement produite, et sans traîner.

La formule répandue selon laquelle les jetons se trouvent sur la chaîne et non sur l'appareil est donc à la fois exacte et incomplète. Elle vaut précisément lorsque la seed a été produite proprement et suit le standard ouvert. L'un et l'autre se vérifient, et sans connaissances spécialisées.

Le test de restauration : comment vérifier aujourd'hui que votre sauvegarde tiendra demain

Une sauvegarde jamais relue est une supposition. Le test qui suit en fait un constat. Il dure une vingtaine de minutes et ne coûte rien d'autre que les frais de réseau d'un virement minime.

Le test avec un compte vide

Procurez-vous d'abord un second logiciel de portefeuille, à code source ouvert, sur un appareil que vous réinitialiserez ensuite, et saisissez-y votre suite de mots ainsi que la phrase de passe. Dans ce logiciel, sélectionnez le même chemin de dérivation que celui qu'emploie votre appareil principal. Comparez ensuite la première adresse de réception avec celle que votre appareil principal affiche au même rang. Si les deux chaînes de caractères coïncident, la portabilité est prouvée : votre avoir dépend de la suite de mots et du chemin, d'aucune entreprise.

Pour aller plus loin, virez un montant minime vers une adresse dérivée exclusivement de la sauvegarde, puis renvoyez-le depuis celle-ci. La signature s'en trouve elle aussi vérifiée, et pas seulement l'affichage de l'adresse. Réinitialisez ensuite l'appareil de test et désinstallez le logiciel.

Deux indications viennent enfin s'ajouter aux mots dans vos notes : le chemin de dérivation complet et le nombre de mots. La phrase de passe se range ailleurs, sans quoi vous en annulez la raison d'être. Qui règle de toute façon ce qu'il doit advenir de l'accès le jour venu intégrera directement cette note aux documents successoraux.

Vérifier la restauration de sa seed : ce qu'il faut retenir

1. Faites le test de restauration avant d'en avoir besoin. Saisissez une fois votre suite de mots dans une seconde application indépendante et comparez la première adresse de réception avec celle de votre appareil principal. Quels programmes sont à code source ouvert et acceptent des chemins de dérivation personnalisés figure dans notre comparatif des portefeuilles logiciels.
2. Notez le chemin de dérivation avec la sauvegarde. Les mots seuls suffisent techniquement ; le chemin vous épargne des heures le jour venu. Lors de votre prochain achat d'appareil, veillez à ce que le fournisseur préconfigure des chemins usuels et délivre une suite de mots BIP39 ; les modèles de notre comparatif des portefeuilles matériels diffèrent nettement sur ce point.
3. Séparez les avoirs de négociation des avoirs de conservation. Ce que vous entendez conserver vous-même sur la durée n'a pas sa place en permanence sur un compte de négociation, car aucun des standards décrits ici n'y joue en votre faveur. Quelles plateformes sont régulées et à quoi ressemblent leurs voies de retrait, notre comparatif des plateformes crypto le montre.

(Au 19 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)