Le Trezor Safe 5 est livré avec une sécurité matérielle robuste dès le départ, mais la plupart des utilisateurs s’arrêtent à la phrase de récupération de 12 ou 24 mots et se considèrent comme protégés. Cela laisse une couche de défense importante inutilisée : la passphrase BIP39. Lorsqu’elle est configurée correctement, une passphrase transforme votre Trezor Safe 5 en portefeuille froid à deux facteurs — quelque chose que vous possédez (l’appareil) plus quelque chose que vous connaissez (la passphrase). Ce guide couvre l’ensemble du processus de configuration de la passphrase du Trezor Safe 5, explique exactement ce qu’elle fait au niveau cryptographique, et traite les cas particuliers qui piègent même les utilisateurs expérimentés.
Ce que fait réellement la passphrase BIP39
Avant de toucher à des paramètres, il vaut la peine de comprendre ce que vous activez. La spécification BIP39, publiée par le processus Bitcoin Improvement Proposal et implémentée dans presque tous les portefeuilles matériels, permet qu’une 25e parole optionnelle (ou une chaîne plus longue) soit ajoutée à votre seed lors de la dérivation de clé. La documentation de Trezor la désigne comme une fonctionnalité de « portefeuille caché ».
La conséquence critique : chaque passphrase unique — y compris une passphrase vide — produit un ensemble complètement différent de clés privées et d’adresses de portefeuille. Votre portefeuille standard (sans passphrase) et votre portefeuille protégé par passphrase partagent la même graine de 24 mots mais sont cryptographiquement indépendants. Il n’y a aucun moyen de forcer brutalement quelle passphrase a été utilisée sans la connaître au préalable.
Pourquoi cela compte pour la sécurité
- Le vol de phrase de récupération ne devient pas fatal. Si un attaquant obtient vos 24 mots mais pas votre passphrase, il n’accède qu’à un portefeuille de leurre vide ou de faible valeur.
- Déni plausible. Vous pouvez maintenir un petit solde dans le portefeuille standard (sans passphrase) et un solde plus important dans le portefeuille caché. Sous contrainte, vous pouvez révéler la graine et le PIN sans exposer vos fonds principaux.
- Aucune dépendance à l’appareil. La passphrase n’est jamais stockée sur le Trezor lui-même. N’importe quel portefeuille compatible BIP39 peut dériver les mêmes comptes avec la même graine plus la passphrase.
Ce dont vous avez besoin avant de commencer
- Un Trezor Safe 5 avec la version du firmware 2.7.0 ou ultérieure (vérifiez via Trezor Suite sous Paramètres → Appareil → Firmware)
- Application de bureau Trezor Suite (l’extension de navigateur n’est pas recommandée pour les tâches liées à la passphrase)
- Votre sauvegarde existante de la graine de 24 mots, stockée de manière sécurisée hors ligne
- Une passphrase décidée — consultez la section ci-dessous sur le choix d’une passphrase
- Un support de sauvegarde secondaire pour la passphrase, stocké séparément de votre graine
Ne procédez pas tant que vous n’avez pas un plan ferme pour sauvegarder la passphrase. La base de connaissances officielle de Trezor avertit explicitement que la perte de la passphrase signifie une perte permanente et irrécupérable d’accès au portefeuille caché — il n’existe aucun mécanisme de réinitialisation.
Choisir une passphrase robuste
La spécification BIP39 permet n’importe quelle chaîne UTF-8 jusqu’à 50 caractères, bien que Trezor Suite accepte des chaînes plus longues. En pratique, la passphrase doit satisfaire à ces critères :
- Longueur plutôt que complexité. Une passphrase de 20 caractères avec des majuscules, des chiffres et au moins un symbole résiste efficacement aux attaques par dictionnaire. La documentation de Trezor recommande d’éviter les mots simples ou les phrases issues de textes connus.
- Pas de dépendance à la mémoire seule. Contrairement à un PIN, la passphrase doit être saisie de manière parfaitement exacte à chaque fois. Une seule faute de frappe génère un portefeuille complètement différent sans avertissement — l’appareil ne vous dira pas que la passphrase était « incorrecte », il ouvrira simplement un portefeuille différent (vide).
- Stockée séparément de la graine. Conserver les deux sur la même sauvegarde métallique annule le but. Envisagez un endroit distinct ignifuge, une personne de confiance, ou un schéma de stockage partagé.
Étape par étape : Activation de la passphrase sur Trezor Safe 5
Étape 1 — Activez la passphrase dans Trezor Suite
- Ouvrez Trezor Suite et connectez votre Safe 5 via USB-C.
- Déverrouillez l’appareil avec votre PIN.
- Dans Trezor Suite, accédez à Paramètres → Appareil.
- Localisez le bouton bascule Passphrase et activez-le.
- Confirmez l’action sur l’écran tactile du Safe 5.
Étape 2 — Choisissez où saisir la passphrase
Le Safe 5 offre deux méthodes de saisie :
- Saisie sur l’appareil (recommandée). Vous tapez la passphrase directement sur l’écran tactile du Safe 5. Cela garantit que la passphrase ne passe jamais par le clavier de votre ordinateur ou son système d’exploitation, où des enregistreurs de frappe pourraient l’intercepter.
- Saisie sur l’hôte. Vous tapez la passphrase dans Trezor Suite sur votre ordinateur. Plus rapide pour les longues passphrases, mais expose la chaîne à la machine hôte.
La documentation du modèle de sécurité de Trezor recommande explicitement la saisie sur l’appareil pour une protection maximale contre les environnements hôtes compromis.
Étape 3 — Accédez au portefeuille caché pour la première fois
- Avec la passphrase activée, déconnectez et reconnectez l’appareil (ou cliquez sur Changer d’appareil dans Trezor Suite).
- Après la saisie du PIN, Trezor Suite vous invitera à : Entrer la passphrase.
- Si vous utilisez la saisie sur l’appareil, confirmez sur l’écran du Safe 5, puis tapez votre passphrase sur le clavier tactile et confirmez.
- Trezor Suite chargera un nouveau portefeuille vide — c’est votre portefeuille caché.
- Notez la première adresse de réception affichée. Enregistrez-la de manière sécurisée. Vous l’utiliserez pour vérifier une saisie correcte de la passphrase à l’avenir.
Étape 4 — Vérifiez la dérivation correcte avant d’envoyer des fonds
Envoyez une petite transaction de test (le montant minimum viable pour votre réseau) au portefeuille caché. Déconnectez l’appareil, reconnectez-le, ressaisissez la passphrase, et confirmez que le solde apparaît. Ce n’est que après un aller-retour réussi que vous devriez déplacer des avoirs importants dans le portefeuille caché. Cette étape n’est pas facultative — une seule erreur de caractère dans votre sauvegarde de passphrase signifie que vous pratiquez avec le mauvais portefeuille.
Gestion du portefeuille standard à côté du portefeuille caché
Basculer entre votre portefeuille standard (sans passphrase) et votre portefeuille caché ne nécessite aucune modification matérielle — c’est géré au niveau de la session dans Trezor Suite. Lorsqu’on vous invite à saisir une passphrase, laisser le champ vide et confirmer vous ramène au portefeuille standard. Cette architecture signifie que vous pouvez légalement exploiter les deux portefeuilles à partir d’un seul appareil sans aucune différence visible pour un observateur.
L’interface de Trezor Suite les désigne comme des profils de portefeuille séparés. Vous pouvez ajouter plusieurs portefeuilles cachés en utilisant des passphrases différentes — chacun est un portefeuille entièrement indépendant avec ses propres comptes et adresses dérivés de la même graine.
Erreurs courantes et comment les éviter
- Supposer que l’appareil valide la passphrase. Il ne le fait pas. Entrer MyPass1! alors que vous aviez l’intention de taper MyPass1@ ouvre silencieusement un portefeuille vide différent. Vérifiez toujours avec une adresse connue.
- Stocker la passphrase uniquement dans un gestionnaire de mots de passe. Les gestionnaires de mots de passe peuvent être piratés, synchronisés ou perdus. Une sauvegarde physique hors ligne est nécessaire.
- Oublier de réactiver la passphrase après une mise à jour du firmware. Certaines mises à jour du firmware vous obligent à confirmer à nouveau les paramètres de l’appareil. Vérifiez après chaque mise à jour.
- Confondre la passphrase avec le PIN. Le PIN protège l’appareil ; la passphrase protège la dérivation du portefeuille. Les deux sont nécessaires pour une sécurité complète mais remplissent des fonctions différentes.
- Utiliser une passphrase sur une configuration en observation seule sans enregistrer la clé publique étendue (xpub). Si vous utilisez un portefeuille protégé par passphrase avec un logiciel de suivi de portefeuille, vous devrez redériver l’xpub à chaque fois à moins qu’il ne soit stocké séparément.
Ce que cela signifie pour vous
La configuration de la passphrase du Trezor Safe 5 est l’une des améliorations de sécurité à plus haut rendement disponible pour un détenteur en auto-garde. Elle ne nécessite pas de connaissances techniques avancées, elle ne coûte rien supplémentaire, et elle rend une phrase de récupération volée largement inutile pour un attaquant. Le compromis est opérationnel : vous avez maintenant deux secrets à protéger et deux points d’échec potentiels. Si vous perdez la passphrase, les fonds du portefeuille caché sont partis définitivement — aucun ticket de support, aucun service de récupération, aucune exception. Cette responsabilité est le prix de la véritable auto-garde.
Pour la plupart des détenteurs ayant des soldes importants, ce compromis en vaut clairement la peine. Configurez la passphrase, vérifiez avec une petite transaction de test, sauvegardez la passphrase physiquement et séparément de la graine, et documentez votre propre procédure de récupération afin qu’une personne de confiance puisse la suivre si nécessaire. La base de connaissances de Trezor et la spécification BIP39 (BIP-0039 sur le référentiel Bitcoin GitHub) sont les références faisant autorité pour toute question d’implémentation au-delà de ce guide.
