L’essentiel : Votre phrase de récupération, de 12 à 24 mots, recrée votre portefeuille sur n’importe quel appareil compatible : qui la lit prend vos cryptos. Notez-la à la main, dans l’ordre, telle qu’elle s’affiche, puis vérifiez-la avec l’appareil. Rangez-la hors ligne, à l’abri du feu, de l’eau et des regards, ailleurs que l’appareil. Jamais de photo, de fichier ni de gestionnaire de mots de passe. Personne n’a à vous la demander : ni le fabricant, ni la police, ni le fisc.
Ce que contient votre phrase de récupération
Vous êtes à l’étape 5 du parcours Crypto 101, « Garder ses cryptos ». L’article précédent vous a aidé à choisir un portefeuille crypto ; s’il vous confie vos clés, il vous a affiché à sa création une liste de mots : votre phrase de récupération (en anglais seed phrase).
Ces mots ne sont pas un mot de passe choisi par vous : ils traduisent un très grand nombre tiré au hasard. Le standard le plus répandu, BIP-39, prend chaque mot dans une liste de 2 048. De cette phrase, le portefeuille déduit toutes vos clés privées, celles qui autorisent à dépenser vos cryptos.
D’où la règle de base, que rappelle le support de Ledger : « Toute personne ayant connaissance de votre phrase de récupération secrète peut s’emparer de vos cryptos sans avoir besoin de votre appareil Ledger. » Et le fabricant ne garde pas vos clés : perdue, la phrase ne se réinitialise pas comme un mot de passe.
Un exemple. Votre portefeuille matériel tombe à l’eau : vous achetez un appareil compatible, vous y saisissez vos mots, et vos bitcoins réapparaissent, car ils sont inscrits sur la blockchain, pas dans l’appareil. Si c’est la phrase qui tombe entre de mauvaises mains, l’appareil resté dans votre tiroir ne protège plus rien.
12, 20 ou 24 mots : les formats à connaître
Ledger génère toujours 24 mots et sait restaurer une phrase de 12 ou 18 mots. Trezor crée par défaut 20 mots sur ses Safe 3 (depuis juin 2024), Safe 5 et Safe 7, et 12 ou 24 mots au choix. Les applications comme MetaMask ou Phantom en affichent 12.
| Format | Mots | Qui l’utilise | Compatibilité |
|---|---|---|---|
| BIP-39 | 12 | Applications comme MetaMask ou Phantom ; Trezor au choix | La plus large |
| BIP-39 | 24 | Ledger (toujours) ; Trezor au choix | La plus large |
| SLIP-39 | 20 par part | Trezor Safe 3, 5 et 7 (par défaut) | Incompatible avec BIP-39 : un appareil Ledger ne la restaure pas |
Faut-il préférer 24 mots ? Pas pour la sécurité : selon Trezor, 12 mots offrent 128 bits, la solidité d’une clé privée de bitcoin, et personne ne devinera une telle phrase. La différence tient à la somme de contrôle, un calcul logé dans le dernier mot qui détecte les fautes de copie. BIP-39 la juge lui-même courte : avec 24 mots, une faute prise au hasard sur 256 passe inaperçue ; avec 12, le même calcul donne une sur 16. Et elle ne dit pas où est l’erreur.
Les 20 mots de Trezor suivent un autre standard, SLIP-39, présenté par les auteurs de BIP-39 comme son successeur. Les deux sont incompatibles, et Trezor précise qu’on ne convertit pas une phrase : il faut un nouveau portefeuille, et un transfert. Notez donc sur la carte le nom du portefeuille qui a créé les mots.
En anglais, et à la lettre près
Il existe une liste française parmi les listes officielles de BIP-39, mais le standard déconseille fortement les autres langues : la grande majorité des portefeuilles ne lisent que l’anglais. Ledger n’utilise que la liste anglaise. Surtout, ne traduisez jamais vos mots : la même phrase dans une autre langue donne d’autres clés, donc un autre portefeuille, vide. « Abstract » reste « abstract ».
La liste anglaise a été construite pour qu’un mot se reconnaisse à ses quatre premières lettres : « abst » ne peut être que « abstract ». C’est une aide si un mot pâlit. Recopiez pourtant chaque mot en entier, et numérotez-les : l’ordre compte autant que les mots.
Le jour de la création : noter, puis vérifier
Tout se joue dans les minutes où le portefeuille affiche la phrase, avant d’y envoyer le moindre euro.
- Installez-vous seul, sans caméra tournée vers l’écran.
- Une phrase fournie toute faite (imprimée dans la boîte, envoyée par courrier) ne s’utilise jamais : quelqu’un d’autre la connaît. L’achat et la mise en service d’un appareil sont détaillés dans notre guide du portefeuille matériel.
- Écrivez au stylo chaque mot en entier, dans l’ordre, avec son numéro. Pas de photo « en attendant ».
- Relisez, puis lancez la vérification de l’appareil : Recovery Check chez Ledger, la vérification de la sauvegarde chez Trezor. Vous saisissez les mots sur l’appareil, qui les compare à sa clé.
- Ensuite seulement, envoyez vos cryptos : Ledger conseille de vérifier « avant d’y sécuriser vos nouvelles cryptos » ; Trezor, aussi avant toute réinitialisation et toute mise à jour de l’appareil.
Avec une application sur téléphone, la règle est la même : la phrase s’écrit sur papier, jamais dans le téléphone. Et pour passer à un portefeuille matériel, Ledger déconseille de reprendre la phrase de 12 mots d’une application, créée sur un appareil connecté : mieux vaut une phrase neuve et un transfert.
Papier ou métal : sur quel support l’écrire
Le papier, la carte fournie par les fabricants, suffit pour commencer. Ses ennemis sont le feu, l’eau et l’encre qui pâlit. Le ministère de l’Intérieur demande de noter la phrase hors ligne, « si nécessaire sur un support durable (par exemple une plaque métallique) », où l’on grave ou frappe les mots.
Ces plaques ne se valent pas. Jameson Lopp, spécialiste reconnu de la sécurité de Bitcoin, en a éprouvé 75 modèles : flamme à 1 093 °C pendant 10 minutes au plus, 12 heures dans un acide, presse de 20 tonnes (sa méthode). Un incendie de maison culmine vers 704 °C, rappelle-t-il. Résultat : 45 modèles notés A, mais 10 notés D ou F.
Ses conclusions : l’acier inoxydable lui semble le meilleur métal facile à trouver, et une plaque ne protège pas du vol. Gravée en clair, trouvée par un voleur, elle livre vos cryptos, ce qu’il décrit comme une perte catastrophique.
Pour l’ordre de grandeur, Trezor affiche sa plaque Keep Metal à 99 € le 11 octobre 2026, un prix hors TVA selon ses conditions de vente, faute de mention contraire ; d’autres fabricants en vendent. Notre avis : si vous passez au métal, prenez un modèle bien noté dans ces essais, et rangez-le avec le même soin que le papier.
Où la ranger, et où jamais
Jamais sous forme numérique
Une phrase numérisée peut être copiée à distance, à votre insu. Trois cas réels :
- La photo. En juin 2025, Kaspersky a décrit SparkKitty, un logiciel espion caché dans des applications de l’App Store et de Google Play, qui envoyait les images de la galerie ; les chercheurs le soupçonnent de viser les captures de phrases de récupération.
- La sauvegarde en ligne. En avril 2022, un faux appel d’« Apple » a soutiré un code de vérification à un utilisateur : le voleur est entré dans son iCloud, où MetaMask sauvegardait ses données, et a pris environ 650 000 $, rapporte 9to5Mac.
- Le gestionnaire de mots de passe. Des coffres volés à LastPass en 2022 contenaient des phrases ; ceux protégés par un mot de passe faible ont été ouverts ensuite. TRM Labs relie plus de 35 millions de dollars de vols à cette fuite, selon The Hacker News.
Donc ni courriel à vous-même, ni note dans le téléphone, ni fichier dans le nuage. Le ministère de l’Intérieur le dit sans nuance : « n’enregistrez jamais en ligne votre phrase de récupération ».
Chez vous : à part, et à l’abri
Rangez la phrase ailleurs que l’appareil : réunis, ils donnent tout à un cambrioleur, et un incendie les détruit ensemble. Ledger conseille une sauvegarde « dans deux endroits sécurisés », pour qu’une copie survive à la perte de l’autre.
Mais chaque copie est une chance de plus d’être trouvée. Notre conseil : deux exemplaires au plus, dans deux lieux que vous contrôlez, rien sur l’enveloppe qui trahisse le contenu, et un coup d’œil de temps en temps pour vérifier qu’ils sont là et lisibles.
Au coffre de la banque ?
Un coffre bancaire éloigne les voleurs : visites consignées et accompagnées, clé unique que vous seul détenez, explique Les clés de la banque, le site pédagogique de la profession bancaire. Comptez environ 135 € par an pour 30 dm³. Deux limites : l’accès aux heures de l’agence, et, au décès du titulaire, un coffre bloqué jusqu’aux instructions du notaire. N’y mettez pas l’appareil avec la phrase.
Enfin, la meilleure cachette est celle dont personne ne soupçonne l’existence : ne dites pas ce que vous détenez. Cybermalveillance.gouv.fr rappelle que des enlèvements et séquestrations de détenteurs de cryptos ont encore été signalés aux forces de l’ordre en janvier 2026.
Personne n’a à vous la demander
Aucune personne, aucune entreprise, aucune administration n’a besoin de votre phrase. Une fiche de prévention des trois autorités européennes de surveillance (banque, assurance, marchés) le résume : « Ne partagez jamais de mots de passe, de clés privées ou de seed phrases : Toute personne y ayant accès peut prendre le contrôle de vos actifs. »
De faux policiers appellent aussi des détenteurs de cryptos : Cybermalveillance.gouv.fr relaie la mise en garde du parquet de Paris : la police, la gendarmerie, la douane ou des magistrats « ne vous appelleront jamais pour vous demander des données confidentielles », phrase de récupération comprise. Les escrocs imitent aussi les fabricants et le fisc :
- De fausses lettres de Ledger et de Trezor, révélées en février 2026 par BleepingComputer, annonçaient une vérification obligatoire ; leur code QR menait à un faux site qui demandait la phrase de 12, 20 ou 24 mots.
- Un faux courrier de la DGFiP, en septembre 2026, invoquait la directive DAC8 et menait, par un code QR, à un faux « Portail des actifs numériques », pour obtenir des identifiants, voire la phrase, selon Génération NT. Les vraies obligations sont dans notre article sur DAC8 : aucune ne passe par vos mots.
Ces pièges sont détaillés à l’étape 6 du parcours : phishing et drainers, comment protéger son portefeuille, puis les arnaques crypto et que faire si vous êtes victime.
Où taper la phrase, alors ? Seulement pour restaurer un portefeuille, quand vous l’avez décidé : sur l’écran de votre portefeuille matériel, ou, pour un portefeuille sur téléphone, dans l’application officielle que vous avez installée vous-même. Ledger l’écrit pour ses appareils dans son support : « Ne saisissez jamais votre phrase de récupération secrète sur Ledger Wallet, une application, un site web ou un ordinateur. »
Partager le secret, ou le confier à un service
Le partage en plusieurs parts (SLIP-39)
SLIP-39 découpe la sauvegarde en parts (shares), de 20 mots chacune chez Trezor, avec un seuil : à 3 parts sur 5, trois suffisent à restaurer, et moins de trois ne révèlent rien du secret. Il a été pensé contre le risque qu’un détenteur de la sauvegarde parte avec les fonds. Trezor propose de 1 à 16 parts, à répartir entre plusieurs lieux ou des proches. Attention : l’ancienne sauvegarde d’une seule part reste valable.
Ledger Recover : une copie chiffrée chez des tiers
Ledger Recover est un abonnement facultatif. Après vérification de votre identité (photo de la pièce d’identité et vidéo du visage), l’appareil chiffre le secret, le découpe en trois fragments et les confie à Ledger, CoinCover et EscrowTech. Deux fragments suffisent pour restaurer, sur un appareil Ledger ; le service ne redonne pas les mots. Au 11 octobre 2026 : un mois offert, puis 9,99 € par mois selon Ledger, qui prévient que la TVA ou d’autres taxes peuvent s’ajouter selon le pays de résidence.
Dès son annonce, en mai 2023, le service a été critiqué, rapporte Decrypt : il lie l’accès aux fonds à une identité et oblige à faire confiance à plusieurs sociétés. Notre avis : il peut rassurer qui craint surtout de perdre sa phrase, mais il ajoute des tiers à un secret que la phrase seule garde entre vos mains.
La passphrase : une protection à double tranchant
Une passphrase est un mot de passe ajouté à la phrase, qui ouvre un autre portefeuille. Selon BIP-39, toute passphrase donne un portefeuille valide : une faute de frappe ouvre donc un portefeuille vide, sans message d’erreur, et Recovery Check ne permet pas de la vérifier. Ses règles sont dans notre guide pour utiliser un portefeuille matériel ; si vous débutez, commencez sans.
Perdue, abîmée ou vue : que faire
Une phrase ne se change pas comme un mot de passe : on crée un nouveau portefeuille, avec une nouvelle phrase, et on y transfère tout. Les cas, d’après Ledger et Trezor :
- Elle a pu être vue (photo, saisie sur un site, copie trouvée) : agissez tout de suite. Ledger décrit la marche à suivre : envoyer les fonds vers des comptes temporaires que vous contrôlez (les jetons d’abord, la monnaie du réseau ensuite, pour les frais), réinitialiser l’appareil, le configurer comme neuf, avec une nouvelle phrase, puis créer de nouveaux comptes pour y ramener les fonds.
- Elle est perdue, ou sa vérification échoue, mais l’appareil marche : même procédure, « vivement » recommandée par Ledger, tant que votre code PIN ouvre l’appareil.
- L’appareil est perdu ou cassé, la phrase intacte : restaurez-la sur un appareil compatible ; si l’ancien a pu tomber entre d’autres mains, transférez aussitôt les fonds vers un nouveau portefeuille, conseille Trezor.
- Phrase et appareil perdus (ou appareil réinitialisé) : aucun recours, ni chez Ledger ni chez Trezor, sauf abonnement à Ledger Recover souscrit avant la perte.
- Un mot est illisible : ses quatre premières lettres suffisent à le retrouver dans la liste. Ne confiez jamais vos mots à qui promet de les reconstituer.
Transmettre à ses proches sans tout dévoiler
Sans la phrase, vos héritiers ne peuvent rien faire de vos cryptos. L’étude notariale Clair-Marty résume le paradoxe : ils sont « propriétaires en droit », le fisc peut réclamer les droits de succession, « mais sans la clé privée ? Impossible d’y accéder ».
Écrire la phrase dans son testament ? Non, répond l’office Merle du Bourg : il « ne doit jamais contenir la clé privée ou la phrase de récupération : un testament finit par être lu par plusieurs personnes, et une clé divulguée est une clé perdue ». L’acte désigne les bénéficiaires et dit où trouver les instructions ; le support des clés est conservé à part, « dans un coffre ou chez un tiers de confiance ».
Tous les notaires ne disent pas la même chose : en 2023, sur le site de la Chambre des notaires de la Gironde, une notaire envisageait de transmettre par testament « les codes d’accès aux plateformes et applications mobiles ou bien des clés de déchiffrement elles-mêmes ». Notre conseil : tenez à jour un inventaire sans aucun secret (quelles plateformes, quel portefeuille), dites à un proche qu’il existe, et décidez avec votre notaire où dort la phrase.
Questions fréquentes
12 ou 24 mots : lequel est le plus sûr ?
Les deux sont hors de portée de qui voudrait deviner votre phrase : 12 mots donnent déjà 128 bits de sécurité, l’équivalent d’une clé privée de bitcoin selon Trezor. La différence tient aux fautes de copie, que 24 mots détectent mieux. Gardez le format que votre portefeuille propose, et soignez la copie.
Puis-je noter ma phrase en français ?
Non : recopiez les mots exacts affichés par votre portefeuille, le plus souvent en anglais. Traduire les mots donne un autre portefeuille, vide, et la plupart des portefeuilles ne lisent que la liste anglaise. Si votre application vous a donné des mots en français, gardez-les tels quels et notez la langue.
Faut-il changer sa phrase de récupération régulièrement ?
Non, tant qu’elle n’a été ni vue ni perdue : une phrase bien gardée ne s’use pas. En revanche, si elle a pu être vue, si vous l’avez perdue ou si sa vérification échoue, créez un nouveau portefeuille et transférez-y tout sans attendre.
J’ai restauré ma phrase, mais le portefeuille est vide : pourquoi ?
Plusieurs causes sont possibles, et toutes ne sont pas un vol. Une passphrase oubliée ou mal tapée ouvre un autre portefeuille, vide ; la phrase ne dit pas quel type d’adresse utilisait votre ancienne application, et la nouvelle peut regarder ailleurs ; vous consultez peut-être un autre réseau. Si rien de cela n’explique l’écart, considérez que la phrase a pu être copiée.
La police, ma banque ou le fisc peuvent-ils me demander ma phrase ?
Non, jamais. Police, gendarmerie, douane et magistrats n’appellent pas pour demander des données confidentielles ; aucune banque ni aucune démarche fiscale n’a besoin de vos mots. Un appel, un courriel ou une lettre qui la réclame est une arnaque : ne répondez pas, et rappelez l’organisme par ses coordonnées officielles.
