Portefeuilles multisig : comment ils fonctionnent et qui en a besoin

Un portefeuille multisig (multi-signature) exige M clés sur N pour approuver une transaction — par exemple, 2 clés sur 3 au choix. Aucune clé seule ne peut déplacer les fonds, de sorte que perdre ou divulguer une clé ne fait pas perdre l'argent. Vous échangez un peu de commodité contre beaucoup de résilience.

Voilà la réponse courte. Le reste de cette page explique comment fonctionne le M-parmi-N, les configurations courantes, les vraies limites et qui en profite réellement.

---

Ce que signifie réellement M parmi N

Dans un portefeuille multisig, les fonds sont contrôlés par un ensemble de N clés, et une transaction n'est valide qu'une fois que M d'entre elles l'ont signée. M est le seuil ; N est le nombre total de clés. Un portefeuille 2-sur-3 possède trois clés et en exige deux quelconques pour déplacer les fonds.

Cela change le modèle de sécurité sur un point important : il n'y a pas de point de défaillance unique. Une seule clé volée, une seule sauvegarde perdue ou un seul appareil compromis ne suffit pas à vider le portefeuille — et, dans la plupart des configurations, pas non plus à vous en bloquer l'accès. C'est tout l'intérêt.

Le compromis, c'est que chaque transaction exige désormais de la coordination. La commodité baisse ; la résilience augmente.

---

Configurations courantes

Les bons M et N dépendent de qui détient les clés et de ce que vous protégez.

• 2-sur-3 pour les particuliers. Trois clés sur trois appareils ou emplacements — par exemple un portefeuille matériel à la maison, un chez un proche et un dans un coffre bancaire. Deux quelconques signent. Vous survivez à la perte de n'importe quelle clé et ne pouvez toujours pas être vidé par un seul vol.
• Seuils plus élevés pour les trésoreries et les DAO. Une entreprise ou une DAO peut fonctionner en 3-sur-5 ou 4-sur-7, avec des clés détenues par différentes personnes ou différents services. Aucune personne seule ne peut déplacer les fonds, et l'organisation survit au départ ou à la compromission d'une minorité de signataires.

Il existe aussi deux variantes techniques :

• Le multisig par contrat intelligent, comme Safe (anciennement Gnosis Safe) sur Ethereum et d'autres chaînes EVM. Les règles vivent dans un contrat intelligent, ce qui les rend flexibles — vous pouvez changer ultérieurement les signataires ou le seuil, ajouter des politiques de dépense et intégrer des applications.
• Le multisig natif, comme le multisig intégré de Bitcoin (P2SH / P2WSH). Les règles sont appliquées par le protocole de base, pas par un contrat. C'est plus simple et il n'y a pas de contrat à auditer, mais c'est moins flexible et plus difficile à reconfigurer après l'installation.

---

Clé unique vs multisig, côte à côte

Le schéma : plus de clés et un seuil plus élevé éliminent les points de défaillance uniques, mais chaque étape ajoute des clés à gérer, à sauvegarder et à coordonner.

---

Qui en a réellement besoin

Le multisig n'est pas pour tout le monde, mais il est quasi essentiel dans certains cas :

• Trésoreries de DAO et d'entreprise. Des fonds partagés ne devraient jamais dépendre de la clé ou de l'honnêteté d'une seule personne. Un seuil répartit le contrôle et crée une piste d'audit.
• Auto-conservation de forte valeur. Si un seul appareil volé ou une sauvegarde divulguée serait catastrophique, le 2-sur-3 élimine ce point de défaillance unique.
• Planification successorale. Vous pouvez répartir les clés pour que les héritiers, combinés à un notaire ou à un second membre de la famille, puissent atteindre le seuil — sans qu'aucune partie ne puisse agir seule de votre vivant.
• Protection contre un seul appareil compromis. Même si un logiciel malveillant prend le contrôle d'un appareil de signature, il ne peut atteindre le seuil à lui seul.

Si vous détenez un montant modeste et dépensez souvent, un seul portefeuille matériel suffit généralement. Le multisig mérite sa complexité au-delà d'une certaine valeur.

---

Les limites honnêtes

Le multisig est puissant, pas magique. Les coûts réels :

• Plus à gérer et à sauvegarder. N clés signifient N sauvegardes, chacune stockée de façon sûre et séparée. Plus de clés signifie plus de choses à perdre.
• Risque de contrat sur le multisig par contrat intelligent. Un portefeuille de type Safe dépend d'un contrat intelligent. Un bug ou une mauvaise mise à jour est un risque que les portefeuilles natifs à clé unique n'ont pas. Utilisez des implémentations bien auditées et largement adoptées.
• Des erreurs de configuration peuvent bloquer les fonds définitivement. Si vous perdez assez de clés pour ne plus pouvoir atteindre M, les fonds sont gelés pour toujours. Un 2-sur-3 où vous perdez deux clés est irrécupérable. Le seuil qui vous protège peut aussi vous piéger.
• La collusion reste possible. Le multisig protège contre un seul acteur malveillant, pas contre la collusion d'un nombre suffisant de signataires. Dans un 2-sur-3, deux personnes agissant ensemble peuvent tout déplacer. Choisissez les signataires en conséquence.

---

Configuration pratique

1. Répartissez les signataires et les clés géographiquement. Des clés dans le même tiroir annulent l'objectif — un incendie ou un cambriolage ne devrait jamais atteindre le seuil.
2. Documentez la procédure de récupération. Notez quelles clés existent, où elles se trouvent et exactement comment signer et atteindre le seuil. Un multisig dont personne ne se souvient du fonctionnement est un piège.
3. Testez d'abord avec de petits montants. Approvisionnez le portefeuille avec un montant symbolique, puis répétez une ronde de signature complète avec les signataires prévus avant de déplacer quoi que ce soit de sérieux.
4. Gardez le seuil atteignable mais sûr. Le 2-sur-3 tolère une clé perdue. Passer à 3-sur-3 supprime la marge de sécurité — une clé perdue bloque tout.

Le regret le plus courant est une configuration jamais testée. Un multisig avec lequel vous n'avez pas signé est une supposition, pas un plan. Pour les sauvegardes de clés sous-jacentes, les mêmes règles s'appliquent que pour la sécurité de la phrase seed.

---

FAQ

Que signifie un multisig 2-sur-3 ? Cela signifie que le portefeuille possède trois clés et que deux d'entre elles au choix doivent signer pour approuver une transaction. Une clé seule ne peut rien faire, et vous pouvez perdre n'importe quelle clé sans perdre l'accès aux fonds.

Un multisig est-il plus sûr qu'un portefeuille matériel ? Pour de gros soldes, généralement oui, car il élimine le point de défaillance unique d'un portefeuille matériel isolé. Mais le multisig utilise souvent des portefeuilles matériels comme clés de signature — ils sont complémentaires, pas concurrents. Le multisig ajoute de la coordination et, pour les configurations par contrat intelligent, un certain risque de contrat.

Puis-je perdre des fonds si je perds une clé multisig ? Dans une configuration avec marge de sécurité, non. En 2-sur-3, vous pouvez perdre une clé et signer quand même avec les deux autres. Vous ne perdez des fonds que si vous perdez assez de clés pour ne plus pouvoir atteindre le seuil — c'est pourquoi le seuil et les sauvegardes doivent être choisis avec soin.

Ai-je besoin d'un multisig en tant qu'utilisateur ordinaire ? Généralement non. Pour des soldes modestes et des dépenses quotidiennes, un seul portefeuille matériel bien sauvegardé suffit. Le multisig commence à payer pour l'auto-conservation de forte valeur, les trésoreries partagées et la planification successorale.

---

Le multisig est une façon d'éliminer les points de défaillance uniques. D'autres incluent les portefeuilles à récupération sociale pour les particuliers et, à l'autre extrémité, la conservation institutionnelle pour les organisations qui ont besoin d'une gestion déléguée.