Comprendre le Web3 : ce que votre portefeuille vous demande d’autoriser
Le Web3 désigne des applications utilisant blockchains, portefeuilles et protocoles partagés pour certaines fonctions : échange de jetons, propriété d’objets de collection ou gouvernance communautaire. Ce n’est pas un autre Internet auquel il faudrait adhérer. L’étiquette Web3 ne garantit ni décentralisation, ni confidentialité, ni sécurité. L’important est de savoir ce que vous contrôlez et ce qui dépend encore d’un opérateur.
Votre objectif : distinguer connexion du portefeuille, signature et autorisation de jetons avant de juger si une demande correspond à votre intention.
Trois couches derrière une application Web3
Le site est une interface
Une page affiche des informations et propose des actions. Domaine, hébergement, résultat de recherche et assistance peuvent être contrôlés par une entreprise ou compromis. Un écran familier ne prouve pas que vous utilisez le bon contrat. Consulter des informations ou vérifier une adresse publique ne devrait jamais nécessiter votre phrase de récupération.
Le portefeuille gère vos pouvoirs
Votre portefeuille gère les clés et vous demande d’autoriser les actions. Une connexion simple partage normalement certaines informations publiques du compte ; elle n’autorise pas à elle seule les dépenses de jetons. Lisez chaque demande, car les portefeuilles prennent aussi en charge des permissions avancées. Adresses et historiques publics sont visibles sur les chaînes publiques même sans connexion à un site.
Les contrats appliquent les règles
Un contrat intelligent exécute des règles programmées sur une blockchain. Les jetons peuvent représenter soldes, droits de vote ou accès, mais toute application utile n’a pas besoin de son propre jeton. Vérifiez si un administrateur peut modifier, suspendre ou mettre à niveau le contrat. Interfaces, fournisseurs de données et services de nœuds hébergés peuvent rester centralisés malgré un règlement sur blockchain.
Examiner une demande en trois étapes
Vérifier destination et réseau
Partez d’une adresse du projet vérifiée indépendamment, pas d’un message non sollicité ou d’une annonce sponsorisée. Vérifiez réseau, compte et destination du contrat dans le portefeuille. Le symbole d’un actif ne suffit pas à identifier son contrat. Lisez l’action avant de connecter un compte contenant des actifs précieux.
Identifier ce que vous autorisez
Une signature de message peut servir à se connecter, mais d’autres signatures peuvent autoriser des ordres ou des dépenses de jetons. Absence de frais de gas ne signifie pas absence de risque. Une approbation ou un permit peut donner à un tiers désigné accès à un jeton précis. Une transaction peut transférer des fonds ou modifier l’état de la chaîne. Si l’action est illisible ou incompréhensible, arrêtez plutôt que de signer à l’aveugle.
Limiter la portée et vérifier après
Pour une autorisation de jetons prise en charge, examinez jeton, bénéficiaire de l’autorisation et montant, puis limitez-la à la tâche si possible. Contrôlez le gas séparément. Après la transaction, vérifiez statut et variations réelles des jetons dans le portefeuille ou l’explorateur. Déconnecter le site supprime la connexion, pas automatiquement une autorisation de dépense restante.
Exemple : le paiement n’est pas le plafond d’autorisation
Vous voulez utiliser 25 unités d’un TOKEN fictif dans une application. Le portefeuille demande pourtant d’autoriser un contrat à dépenser 10 000 TOKEN. C’est une permission allant jusqu’à 400 fois le montant prévu, pas un reçu de paiement de 25 jetons. Une autorisation classique concerne ce jeton, ce tiers et ce réseau ; elle peut exposer de futurs dépôts tant qu’elle reste valable. Vérifiez d’abord le contrat autorisé, puis réduisez le plafond à 25 si le parcours le permet, ou refusez. Un plafond réduit limite le montant exposé par cette autorisation, sans prouver la fiabilité du contrat. Achat ou dépôt reste une action distincte, sauf combinaison explicite des étapes par l’application.
Les erreurs créant un risque inutile
Prendre toute signature pour une connexion sans danger
Lisez domaine, objectif, jetons concernés et expiration lorsqu’ils sont indiqués. Certaines signatures hors chaîne peuvent autoriser plus tard des actions sur chaîne. Une signature gratuite n’est pas forcément un message inoffensif. N’approuvez jamais uniquement parce qu’un prétendu agent d’assistance affirme que cela débloquera des fonds.
Confondre propriété et accès garanti
Détenir un jeton ne garantit pas la disponibilité future de son site, fichier image ou marché. Un jeton de gouvernance ne donne pas automatiquement un contrôle réel si les votes sont concentrés ou si un administrateur peut annuler les décisions. Demandez ce qui est stocké sur chaîne, ce qui dépend de serveurs externes et qui peut modifier chaque partie.
Croire que déconnecter signifie révoquer
Déconnecter un site et révoquer une autorisation sont deux opérations différentes. Examinez les permissions via un portefeuille ou explorateur fiable sur le bon réseau. Une révocation sur chaîne exige généralement du gas et modifie les droits futurs ; elle ne récupère pas des actifs déjà transférés. N’utilisez pas un lien de « nettoyage de portefeuille » envoyé au hasard.
À vous : évaluer la demande
Vous voulez déposer 20 TOKEN. Un site demande une autorisation de 5 000 TOKEN puis affirme que la déconnexion la supprimera. Qu’est-ce qui est faux, et que faut-il vérifier avant de poursuivre ?
Afficher l’explication
L’autorisation vaut 250 fois le dépôt prévu. La déconnexion ne la révoque pas. Vérifiez site, réseau, contrat du jeton et contrat autorisé, ainsi que la portée demandée. Choisissez un plafond inférieur adapté si possible, ou refusez. Confirmez le dépôt séparément puis examinez les permissions restantes. Ni une transaction réussie ni un plafond limité ne prouvent la sécurité de l’application.
