Le marketing de la self-custody, c'est une ligne : sois ta propre banque. La version honnête est plus longue. Tu hérites de responsabilités qu'un custodian absorbait pour toi, et faire semblant du contraire, c'est comme les gens finissent avec des wallets vides et une histoire qui commence par "je croyais que c'était sauvegardé".
C'est le quatrième article de la série Self-Custody Fundamentals. Le précédent inventoriait les sept modes de défaillance des exchanges custodial. Celui-ci en est la contrepartie honnête : ce que la self-custody met sur tes épaules. Lis-le avant de décider que la self-custody est "évidemment" le bon modèle pour tout — pour certains actifs et certains utilisateurs, le compromis bascule de l'autre côté.
TL;DR
- La self-custody échange un risque de contrepartie contre un risque opérationnel qui t'appartient. Les risques ne tombent pas à zéro ; ils changent de forme.
- La facture vient en cinq catégories : backups, sécurité opérationnelle (opsec), gestion des appareils, planification de la recovery, et temps et attention.
- La plupart des échecs ne sont pas spectaculaires — ils sont lents, ordinaires, et commencent par des étapes sautées des mois plus tôt (pas de backup écrit, seed photographiée par confort, recovery jamais testée).
- Un multisig 2-of-2 comme SSP adoucit plusieurs d'entre eux — perdre un appareil n'est pas catastrophique, une compromission de clé exige les deux appareils — mais ne les élimine pas.
- Le bon cadre n'est pas "la self-custody, c'est dur". C'est : tu substitues ta discipline à celle du custodian. Planifie cette substitution honnêtement, ou ne la fais pas.
Catégorie 1 — Backups
Un custodian te sauvegarde — en détenant les clés d'un solde qu'il suit dans sa base de données. Tu n'as rien à faire pour être "sauvegardé".
La self-custody n'a pas cette figure. Le matériel de recovery est le wallet — que ce soit une seed phrase de 12/24 mots, un duo d'appareils 2-of-2, ou une carte de backup de hardware wallet. Si ce matériel est perdu ou détruit, les fonds sont irrécupérables. Pas "plus durs à récupérer". Irrécupérables.
Ce que ça signifie concrètement :
- Écris la seed quand le wallet te le demande. Stylo et papier, sur le moment. Pas une capture d'écran, pas une note dans un gestionnaire de mots de passe, pas "demain".
- Garde au moins deux copies, à des emplacements physiquement séparés. Un incendie, une inondation, un vol ou un déménagement ne devraient pas emporter les deux. Schéma courant : une à la maison dans un sac ignifuge, une chez la famille ou dans un coffre.
- Pour des montants significatifs, utilise un backup métal. Le papier survit une décennie si tu es soigneux. Une plaque métal survit à la plupart des incendies domestiques. Steelplate et Cryptosteel sont les produits courants ; l'article bonnes pratiques de seed phrase couvre les options.
- Teste la recovery avant de t'y fier. Restaure la seed sur un appareil propre une fois, vérifie que les adresses correspondent, puis efface et reconfigure. Un backup non testé est un espoir, pas un backup.
Pour SSP spécifiquement, le modèle 2-of-2 implique que ta "seed" est scindée en deux : la mnémonique maître de l'extension SSP plus la mnémonique mobile de SSP Key. Les deux suivent la même discipline de backup — et l'une seule ne suffit pas à récupérer le wallet.
Catégorie 2 — Sécurité opérationnelle (opsec)
Une fois les clés présentes sur tes appareils, la surface change. L'opsec d'un custodian est le problème de ses employés ; en self-custody, c'est le tien.
Les menaces réalistes pour un utilisateur typique ne sont pas des adversaires étatiques. Ce sont :
- Malware — un remplaçant de presse-papiers qui échange ton adresse de destination contre celle de l'attaquant au moment du collage, un infostealer qui attrape un fichier seed déverrouillé, une extension de navigateur malveillante qui signe en silence des transactions que tu n'as pas voulues.
- Phishing — emails, DM et pubs de recherche sosie qui mènent à un site qui ressemble à un wallet que tu connais mais qui n'en est pas un. Une fois la seed entrée, c'est fini.
- Accès physique — quiconque lit ta feuille de seed, quiconque attrape un téléphone déverrouillé, quiconque trouve un backup non chiffré sur un bureau.
- Ingénierie sociale — appels ou messages qui te guident à travers des étapes de "vérification" incluant lire la seed à voix haute ou installer un logiciel de contrôle à distance.
Ce que ça exige de toi :
- Ne tape la seed nulle part où elle vivrait numériquement. Pas par email, pas dans Notes, pas dans iCloud, pas dans un gestionnaire de mots de passe cloud. La seed est offline par conception.
- Vérifie l'URL de tout site wallet où tu te connectes. Mets l'URL canonique en favori une fois. Recontrôle-la à chaque visite. Les sosies coûtent trois fois rien ; la seule défense, c'est la discipline du favori.
- Utilise un profil utilisateur ou un navigateur séparé pour la crypto si tu peux. Réduit le rayon d'impact d'une extension malveillante.
- Recoupe l'adresse de destination sur un deuxième appareil. Le modèle 2-of-2 de SSP rend ça naturel — l'appli mobile SSP Key affiche l'adresse avant la signature, donc un remplaçant de presse-papiers côté navigateur est attrapé.
Tu n'as pas besoin de discipline militaire. Tu as besoin d'habitudes constantes et ennuyeuses.
Catégorie 3 — Gestion des appareils
Les custodians se fichent de quel appareil tu te connectes. Ils authentifient le compte, pas l'appareil. La self-custody inverse ça : l'appareil est le wallet. Tu dois maintenant gérer des appareils comme un admin gère des serveurs.
Les responsabilités minimales :
- Maintiens l'OS et le logiciel wallet à jour. Les anciennes versions accumulent des vulnérabilités connues. La latence de 24 h pour les patches de sécurité est réelle ; ferme la fenêtre.
- Verrouille l'appareil. PIN ou biométrie sur téléphone et laptop, avec auto-verrouillage rapide. Le mot de passe du wallet est la dernière ligne, pas la première.
- Connais le cycle de vie. Quand tu retires un appareil, efface-le avant la revente. Quand un appareil est perdu, traite le wallet dessus comme compromis jusqu'à migration.
- Ne stocke pas la seed sur le même appareil que le wallet. Les backups cloud chiffrés des photos du téléphone sont la voie royale pour que les seeds finissent sur les serveurs d'Apple ou de Google.
Pour le multisig 2-of-2, cette liste s'applique deux fois — une par appareil. L'avantage : perdre un appareil n'est plus instantanément catastrophique. L'inconvénient : il y a maintenant deux appareils à tenir à jour.
Catégorie 4 — Planification de la recovery
La chose la plus à fort impact qu'un utilisateur self-custody puisse faire et que presque personne ne fait, c'est planifier la recovery avant d'en avoir besoin.
Planifier la recovery, c'est répondre, par écrit, avec les vraies personnes concernées :
- Que se passe-t-il si je perds l'appareil demain ? Où est la seed, quel est le processus de restauration, combien de temps ça prend ?
- Que se passe-t-il si je suis incapacité ou décédé ? La bonne personne peut-elle trouver le matériel de recovery, sait-elle à quoi il sert, et le côté légal/succession est-il aligné (un testament qui mentionne "des avoirs crypto" sans dire où sont les clés ne sert quasiment à rien) ?
- Que se passe-t-il si la seed est compromise mais que je contrôle encore le wallet ? La réponse, c'est déplacer immédiatement les fonds vers un nouveau wallet avec une seed neuve. Entraîne-toi une fois avant de devoir le faire sous stress.
La série Wallet Recovery Scenarios couvre l'angle succession / accès d'urgence en détail ; la version courte, c'est qu'un plan caché n'est pas un plan. Les personnes qui doivent retrouver le matériel doivent pouvoir le faire, sous une forme utilisable, sans que tu les guides.
Pour le setup 2-of-2 de SSP, ce récit est plus indulgent que dans les wallets à seed unique — perdre ton navigateur ne perd pas le wallet, le flow wallet recovery de v1.38 s'en charge — mais la succession demande les deux jeux de backup, pas un. Planifie pour les deux.
Catégorie 5 — Temps et attention
Le coût le moins visible et celui qui s'accumule. Les custodians absorbent l'impôt opérationnel d'opérer un wallet — ils décident quand tourner les clés, quand appliquer les patches, quand mettre à jour l'intégration chain. Tu délègues l'attention.
En self-custody, tu reprends cette attention. Facture de temps réaliste pour un utilisateur avec des montants significatifs :
- Setup initial : 1–2 h fait correctement (écrire la seed correctement, tester la recovery sur un second appareil, sauvegarder à deux endroits).
- Par mois : ~15 min d'entretien — mises à jour wallet, mises à jour OS, un contrôle occasionnel que la sauvegarde est encore là où tu l'as laissée.
- Par trimestre : 30 min — revérifier les backups, regarder les avis sur le logiciel wallet, revoir tout nouvel appareil ou adresse ajouté.
- Par an : 1–2 h — revue opsec complète (appareils, backups, plan de recovery, tout ce qui a dérivé de ton plan écrit).
Ce n'est pas beaucoup. C'est, en revanche, plus que zéro, et zéro est souvent ce que les gens planifient. Le pattern qui fait mal aux utilisateurs, c'est de traiter la self-custody comme "configure-et-oublie" — comme le wallet continue de fonctionner, la discipline s'atrophie, et le trou apparaît la première fois que quelque chose ne va pas.
Ce que ça veut dire pour toi
Trois prises honnêtes :
- Le compromis est réel, mais pas infini. Quelques heures de setup et quelques minutes par mois d'entretien : c'est le coût réel pour l'utilisateur typique. Le cadrage "la self-custody c'est trop dur" veut souvent dire "je ne sais pas encore ce qu'est le travail" — une fois que tu sais, c'est gérable.
- La plupart des échecs de self-custody sont ordinaires. Seeds perdues, seeds photographiées, backups non testés, "je sauvegarde demain". Les choses dramatiques (attaquants étatiques, attaques au "$5 wrench") sont rares. Le banal est constant. Planifie pour le banal.
- Le multisig 2-of-2 adoucit les falaises. Perdre un appareil, qu'une clé soit compromise, échec unique de seed — ne sont plus catastrophiques dans un setup 2-of-2. Ils deviennent des incidents récupérables plutôt que des événements terminaux. C'est l'intention de design.
Le prochain article de la série, self-custody without going to cold storage, regarde la voie médiane entre laisser les fonds sur une exchange et aller en air-gap complet — et pourquoi pour la plupart des utilisateurs la bonne réponse vit dans ce milieu.
