Ledger Recover est le service d’abonnement payant de Ledger pour sauvegarder votre phrase de récupération de 24 mots, lancé en 2023 et considérablement étendu en 2026. C’est également l’une des fonctionnalités les plus controversées jamais ajoutées à un portefeuille matériel. Ce guide explique exactement comment cela fonctionne, quels sont les compromis de sécurité, qui devrait et ne devrait pas l’utiliser, et quelles alternatives existent.
Qu’est-ce que Ledger Recover?
Ledger Recover est un service d’abonnement (9,99 $/mois ou 99 $/an) qui sauvegarde automatiquement votre phrase de récupération de 24 mots en utilisant un processus appelé Partage de Secret de Shamir, la divisant en trois fragments chiffrés stockés auprès de trois entreprises distinctes.
La proposition de valeur centrale : si vous perdez votre appareil Ledger et votre sauvegarde de phrase de récupération, Ledger Recover peut restaurer votre seed sur un nouvel appareil en utilisant la vérification d’identité.
Avant Recover, la perte à la fois de votre appareil et de votre sauvegarde écrite de phrase de récupération signifiait une perte permanente de fonds. Recover résout ce scénario — à un coût, à la fois financier et en termes d’hypothèses de sécurité.
Comment fonctionne Ledger Recover
Le processus technique
Lorsque vous vous abonnez à Ledger Recover et l’activez sur votre appareil :
À partir de 2026, les trois fournisseurs de sauvegarde sont :
Le processus de récupération
Si vous avez besoin de récupérer votre seed sur un nouvel appareil Ledger :
- Vous passez par un processus de vérification d’identité (pièce d’identité gouvernementale + selfie + vérification de vivacité)
- La vérification d’identité confirme que vous êtes le titulaire du compte
- Deux des trois détenteurs de fragments libèrent leurs fragments
- Les fragments sont envoyés au nouvel appareil Ledger via un canal sécurisé
- L’appareil reconstitue la phrase de récupération complète en interne et configure le portefeuille
Le coût
- 9,99 $/mois facturé mensuellement
- 99 $/an facturé annuellement (équivalent à 8,25 $/mois)
- Disponible pour Nano X, Stax et Flex
- Non disponible pour Nano S Plus
La controverse : quel est le problème réel?
Lorsque Ledger a annoncé Recover en mai 2023, la communauté crypto a réagi fortement. Voici pourquoi :
Le firmware peut extraire le seed
Pour que Recover fonctionne, le firmware exécuté sur votre Ledger doit être capable de :
- Accéder à la phrase de récupération stockée dans l’Élément Sécurisé
- La chiffrer
- Transmettre les fragments chiffrés sur Internet via l’ordinateur hôte
Avant cette annonce, Ledger avait déclaré (explicitement et implicitement) que la phrase de récupération « ne quittait jamais l’appareil ��. L’annonce de Recover a révélé que ce n’était plus une contrainte technique absolue — c’est une contrainte politique. Le firmware est capable d’extraire le seed s’il en est ordonné.
L’argument de confiance
Les critiques affirment : si le firmware peut extraire le seed et le transmettre, alors :
- Une mise à jour firmware malveillante pourrait potentiellement le faire sans consentement
- Un gouvernement pourrait forcer Ledger à pousser une mise à jour firmware qui active silencieusement l’extraction du seed
- La promesse de sécurité « seed isolé » est affaiblie par l’existence de cette capacité
Les contre-arguments de Ledger
La position de Ledger :
Analyse de sécurité
Ce que Ledger Recover change et ne change pas
| Aspect | Avant Recover | Avec Recover (abonné) |
|---|---|---|
| Sécurité matérielle physique | EAL5+/EAL6+ | Inchangée |
| Seed stocké uniquement sur l’appareil | Oui | Fragments chiffrés stockés auprès de 3 parties |
| Ledger peut accéder au seed | Non (politique + architecture) | Non (architecture — nécessite 2/3 parties) |
| Risque de contrainte gouvernementale | Très faible (seed sur appareil uniquement) | Possible via action en justice contre 2 détenteurs de fragments |
| Vérification d’identité requise pour la récupération | N/A | Oui (biométrique + pièce d’identité gouvernementale) |
| Récupération possible sans phrase de récupération | Non | Oui |
Qui contrôle les fragments?
Aucune partie unique ne détient suffisamment d’informations pour restaurer votre seed. Un attaquant ou une autorité gouvernementale aurait besoin de :
- Compromettre ou contraindre légalement au moins 2 des 3 détenteurs de fragments simultanément
- Réussir à vous usurper l’identité via le système de vérification d’identité
C’est un bar significativement plus élevé que de compromettre une seule entreprise — mais ce n’est pas équivalent à la sécurité d’une phrase de récupération qui n’existe nulle part sauf en votre propre possession.
Recover est-il sûr face aux pirates?
La transmission des fragments se fait sur un canal chiffré entre l’Élément Sécurisé et les fournisseurs de sauvegarde. Un attaquant réseau qui intercepterait le trafic verrait des données chiffrées qu’il ne peut pas reconstituer en seed. Les fragments en stockage sont également chiffrés.
Les vecteurs d’attaque réalistes sont :
- Une violation de l’un ou plusieurs fournisseurs de sauvegarde (violation unique insuffisante ; deux violations simultanées requises)
- Une usurpation d’identité réussie de votre part via le système de vérification d’identité
- Une compromission firmware Ledger qui extrait silencieusement le seed avant la fragmentation
Qui devrait utiliser Ledger Recover?
Bons candidats pour Ledger Recover
Mauvais candidats pour Ledger Recover
Alternatives à Ledger Recover
Si vous voulez une meilleure sauvegarde de phrase de récupération sans les compromis de confiance de Recover, considérez ces alternatives :
Plaques de sauvegarde métallique
Les produits comme Cryptosteel Capsule, Bilodeau, ou Cryptotag Zeus vous permettent de frapper ou de graver les mots de votre phrase de récupération en acier inoxydable. Ceux-ci sont ininflammables, imperméables et survivront aux incendies et aux inondations qui détruisent les sauvegardes papier.
Coût : 50–150 $ une seule fois. Pas d’abonnement continu. Aucune confiance tierce requise.
Partage de Secret de Shamir — Auto-géré
Certains portefeuilles (notamment Trezor Safe 3 et Safe 5) supportent la création d’une phrase de récupération divisée par Shamir que vous distribuez vous-même — par exemple, en donnant une part à un membre de la famille de confiance et en gardant d’autres dans des emplacements séparés. Aucune entreprise tierce ne stocke vos fragments.
Distribution géographique
Le simple fait d’avoir plusieurs copies de votre phrase de récupération stockées dans différents emplacements physiques (maison, coffre-fort bancaire, membre de la famille de confiance) sans copies numériques réalise une résilience similaire contre la perte physique.
Séparation passphrase + Seed
Stocker vos 24 mots dans un emplace et une passphrase forte dans un endroit séparé signifie que même si une sauvegarde est compromise, l’attaquant ne peut toujours pas accéder aux fonds sans les deux éléments.
Questions fréquemment posées
Q : Si je m’abonne à Ledger Recover puis que j’annule, que se passe-t-il avec mes fragments?
À l’annulation, Ledger déclare que vos fragments sont supprimés des systèmes des fournisseurs de sauvegarde. Vous devriez vérifier cela dans les conditions de service actuelles de Ledger avant de vous abonner.
Q : Ledger peut-il accéder à mes fonds en utilisant Recover?
Pas unilatéralement. Ledger détient uniquement un des trois fragments. La reconstitution du seed nécessite au moins deux fragments. Ledger aurait besoin de collaborer avec au moins un autre fournisseur, ET réussir à vous usurper l’identité à l’étape de vérification d’identité.
Q : Ledger Recover fonctionne-t-il si mon appareil est complètement détruit?
Oui. Vous pouvez récupérer sur n’importe quel nouvel appareil Ledger compatible en passant par le processus de vérification d’identité et en envoyant les fragments au nouvel appareil.
Q : Ledger Recover est-il conforme au RGPD?
Ledger affirme qu’il est conforme aux lois de l’UE sur la protection des données. Les données de vérification d’identité sont traitées par des partenaires de vérification d’identité. Consultez la politique de confidentialité de Ledger pour les détails actuels.
Q : Puis-je utiliser Ledger Recover si j’ai une passphrase configurée?
Ledger Recover sauvegarde uniquement la phrase de récupération de 24 mots, pas n’importe quelle passphrase. Si vous utilisez une passphrase, vous devez toujours la sauvegarder séparément. Votre portefeuille avec passphrase ne serait pas récupérable via Recover seul.
Q : Que se passe-t-il si l’une des trois sociétés de sauvegarde fait faillite?
Ledger affirme avoir des plans de contingence pour la défaillance du fournisseur de sauvegarde, et que puisque seuls 2 des 3 fragments sont nécessaires, la défaillance d’un fournisseur n’affecte pas votre capacité à récupérer. Consultez les conditions de service actuelles pour plus de détails.
Q : Ledger Recover a-t-il jamais été utilisé pour récupérer avec succès un portefeuille?
Ledger a confirmé que le service est opérationnel avec des récupérations réussies. La vérification publique indépendante de la sécurité du processus est limitée.
Guides connexes :
