#Web3SecurityGuide

Votre clé privée est la seule preuve que vous possédez quelque chose dans Web3. Pas de support client, pas de réinitialisation de mot de passe, pas de banque à appeler. Si elle fuit, vos actifs sont perdus avant même que vous ayez fini de lire la notification.

Écrivez votre phrase de récupération sur papier — ou mieux, sur une plaque de sauvegarde en métal — et conservez-la dans un endroit physiquement sécurisé. Ne la tapez jamais sur un site web, une application ou un chat. Ne la photographiez jamais. Dès qu’elle se trouve sur un appareil connecté à Internet, elle est déjà à risque.

Utilisez un portefeuille matériel pour tout ce que vous considérez comme important. Un portefeuille froid garde vos clés de signature hors ligne, ce qui signifie qu’un ordinateur compromis ne peut toujours pas vous vider. Traitez-le comme une clé de maison, pas comme un mot de passe.

Avant de signer une transaction, lisez ce que vous signez réellement. Les pop-ups de portefeuille affichent souvent des interactions brutes avec le contrat. Si vous voyez « approuver des dépenses illimitées » et que vous ne l’avez pas explicitement demandé, refusez. La phishing d’approbation est l’une des méthodes les plus courantes pour que les gens perdent des fonds — l’attaquant vous fait accorder la permission une fois, puis vide votre portefeuille à sa guise.

Vérifiez indépendamment les adresses de contrat. Les faux tokens et les clones de frontends DeFi sont conçus pour ressembler à l’original. Vérifiez l’adresse sur la documentation officielle du projet ou sur un explorateur de blocs de confiance avant d’interagir.

Faites preuve de discernement. Gardez un portefeuille chaud pour les interactions quotidiennes et un portefeuille froid pour les détentions à long terme. N’utilisez jamais votre portefeuille principal pour créer des NFTs gratuits, tester des protocoles inconnus ou vous connecter à des liens envoyés par des inconnus.

Soyez sceptique face à l’urgence. Les tactiques de rareté, les compte à rebours et les messages « whitelist limitée » sont conçus pour le social engineering. Les protocoles légitimes n’ont pas besoin de vous presser pour signer quelque chose rapidement.

Si vous utilisez un portefeuille d’extension de navigateur, ne l’installez que depuis la boutique officielle du navigateur et vérifiez l’éditeur. La falsification d’extensions est réelle. Auditez périodiquement vos extensions installées et supprimez celles que vous n’utilisez pas activement.

La sécurité dans Web3 n’est pas une fonctionnalité que le protocole vous fournit. C’est une responsabilité personnelle qui commence dès que vous créez votre premier portefeuille.