Un wallet Web3 est une application ou un dispositif permettant d’interagir avec des comptes et des services compatibles. Il peut afficher des actifs, préparer des transactions ou demander une signature. Le nom « Web3 » ne garantit ni l’anonymat, ni la prise en charge de tous les réseaux, ni la sécurité d’un site connecté.
La question à poser devant chaque écran
« Est-ce que je connecte, prouve un contrôle, accorde un droit ou déplace des actifs ? » Ces actions peuvent se suivre dans un même parcours, mais n’ont pas la même portée. Le bouton précédent ne permet pas de deviner ce qu’autorise le suivant.
Wallet, compte et adresse : des rôles à séparer
Ethereum.org présente le wallet comme un outil d’interaction avec un compte. Une adresse publique identifie une destination ou un compte sur un réseau ; elle ne constitue pas à elle seule une identité civile vérifiée. Un logiciel peut aussi afficher un compte sans posséder les moyens de signer.
Le wallet peut travailler avec un appareil matériel plutôt que conserver lui-même les clés dans le navigateur. Les fonctions disponibles dépendent du produit et de la configuration. Notre comparatif des applications et appareils matériels distingue précisément ces rôles.
Les quatre écrans à ne pas confondre
| Demande | Question utile | Conclusion à éviter |
|---|---|---|
| Connexion | Quel site et quels comptes sont concernés ? | Le site est donc fiable |
| Signature d’un message | Quel texte ou quelles données sont signés ? | Sans frais signifie sans conséquence |
| Autorisation de tokens | Quel contrat, quel actif et quel plafond ? | La permission est limitée à l’achat envisagé |
| Transaction | Quelle action, quel réseau et quels frais ? | Le bouton confirme forcément une simple connexion |
La documentation MetaMask sur les token approvals explique qu’une autorisation peut permettre à une application de déplacer un type de token pour le compte du détenteur. Cela ne revient pas seulement à montrer un solde. Le contrat bénéficiaire et la portée du droit méritent une lecture attentive.
Le tableau est une grille de questions, pas une classification exhaustive de toutes les signatures. Si les données restent incompréhensibles, interrompez le parcours. Notre Top des outils de simulation présente des aides à la lecture avec leurs limites ; une simulation ne certifie pas l’absence de risque.
Déconnecter un site ne révoque pas ses autorisations
C’est une distinction importante dans la documentation de révocation de MetaMask. La déconnexion et la suppression d’une autorisation sur le réseau ne sont pas la même opération. Une interface peut ne plus être connectée tandis qu’un droit accordé précédemment existe encore.
Pour établir un état des lieux, notez le réseau, le contrat, le token et le droit visé à partir de sources fiables. Ne cliquez pas sur une publicité de « nettoyage » reçue après un incident. Une éventuelle révocation ne rembourse pas les mouvements déjà effectués et ne rend pas confidentielle une clé divulguée.
Même adresse apparente, réseaux et coûts différents
Avant de déposer ou d’envoyer, vérifiez le réseau demandé et les actifs réellement pris en charge. Un libellé identique ou une adresse visuellement familière ne suffisent pas à établir la compatibilité d’une plateforme. Une interface multiréseau n’implique pas que le destinataire accepte toutes les routes.
Prévoyez aussi la lecture des frais et des soldes nécessaires à l’opération. La présence de stablecoins ne démontre pas, à elle seule, qu’il sera possible de payer les frais du parcours choisi. Les erreurs de transfert et le guide des frais crypto aident à poser les bonnes questions sans imposer un réglage universel.
Trois cas pratiques
« Le site dit vérifier mon adresse, mais demande une autorisation illimitée »
L’action ne correspond pas à la simple vérification annoncée. Interrompez le parcours et cherchez une explication claire du contrat et de la portée de la permission. Le fait que le wallet affiche une fenêtre familière ne valide pas le motif du site.
« Je signe avec un appareil matériel : puis-je ignorer le site ? »
Non. L’isolation des clés et la compréhension d’une opération sont deux protections distinctes. Un appareil qui signe une autorisation nuisible ne peut pas transformer celle-ci en opération souhaitable. Le guide cold wallet développe cette limite.
« Mon wallet est connecté à un site : suis-je forcément piraté ? »
Une connexion ne prouve pas à elle seule un vol. Distinguez les comptes exposés, les signatures accordées et les opérations effectivement exécutées. Conservez les références publiques utiles sans transmettre de secrets à un support trouvé au hasard.
La checklist avant de confirmer
- Retrouver le domaine officiel depuis une source fiable.
- Vérifier le compte et le réseau sélectionnés.
- Identifier la nature exacte de la demande.
- Lire destination, contrat, actif et portée du droit.
- Contrôler les frais et les informations réellement affichées.
- Refuser une demande incohérente ou incomprise.
- Consulter le statut et les droits existants après l’usage.
Questions fréquentes
Un wallet Web3 est-il forcément anonyme ?
Non. Les interactions publiques, les services utilisés et les informations partagées peuvent relier des activités à un utilisateur. Le nom du produit n’est pas une garantie de confidentialité.
Une signature sans frais est-elle sans risque ?
Non. Le coût affiché ne décrit pas toute la portée des données signées. Il faut comprendre la demande avant de l’accepter.
Une déconnexion suffit-elle après une mauvaise autorisation ?
Il faut examiner les autorisations concernées ; déconnecter l’interface ne les efface pas automatiquement.
Sources et limites
Sources primaires consultées le 4 novembre 2026 : Ethereum.org — Wallets, MetaMask — Token approvals et MetaMask — Revoke allowances. Les aides évoluent ; aucune date de mise à jour unique n’est affichée pour les deux dernières. Exemples fictifs et analyse documentaire, sans connexion à une application ni signature réelle.