Mise à jour : 14 septembre 2026. Révoquer les anciennes autorisations de contrats intelligents est l’un des moyens les plus simples de réduire l’exposition inutile de votre portefeuille, mais un résultat satisfaisant doit être plus précis que « J’ai déconnecté certaines dApps ». Une fois cette opération terminée, vous saurez quels contrats peuvent encore dépenser vos jetons, quelles autorisations vous avez intentionnellement conservées et quelles autorisations ont été ramenées à zéro ou invalidées sur la blockchain concernée.
Ce guide se concentre sur ce résultat. Il aborde les autorisations de jetons ERC-20, les approbations des opérateurs NFT, les autorisations Permit2, les outils permettant de les examiner et les situations où la révocation est insuffisante. Il ne garantit pas la sécurité absolue d'un portefeuille par la révocation : la compromission de clés, les signatures malveillantes, les failles de protocole et les transferts déjà confirmés nécessitent des mesures différentes.
| But | Preuves solides | Quand changer d'approche |
|---|---|---|
| Supprimer une allocation ERC-20 | L'opération de révocation est confirmée et le solde est de 0. | Si l'approbation réapparaît, vérifiez la chaîne, l'adresse du dépensier, le contrat du jeton et si un autre système d'autorisation tel que Permit2 est impliqué. |
| Supprimer l'approbation d'un opérateur NFT | L'opérateur n'est plus agréé pour tous les NFT de cette collection, ou l'agrément spécifique du jeton a été levé. | Si le vérificateur d'approbation ne parvient pas à détecter un contrat NFT non standard, examinez directement le contrat de collecte ou utilisez son interface officielle. |
| Réduire l'exposition future | Les autorisations inutilisées et illimitées sont supprimées ou limitées ; les autorisations actives sont intentionnelles. | Si un flux de travail nécessite régulièrement des autorisations étendues, envisagez un portefeuille d'activités distinct ou une application décentralisée prenant en charge des limites plus restrictives. |
| Réagir à un portefeuille compromis | Les actifs et les activités futures sont transférés vers un nouveau portefeuille dont les clés ne sont pas compromises. | Ne vous fiez pas uniquement à la révocation si la phrase de récupération ou la clé privée est divulguée. |
Conformément à la norme ERC-20, cette approvefonction permet à un détenteur de jetons d'autoriser un utilisateur à effectuer des retraits jusqu'à un montant spécifié, et transferFrompermet également à cet utilisateur autorisé de transférer des jetons. La norme officielle est disponible dans le document ERC-20 : Token Standard .
Les autorisations relatives aux NFT peuvent être plus étendues. La norme ERC-721 définit setApprovalForAlldes autorisations permettant à un opérateur de gérer tous les NFT d'un propriétaire pour cette collection. Voir ERC-721 : Norme relative aux jetons non fongibles .
Distinction importante : connecter un portefeuille à un site web ne revient pas à autoriser l’utilisation d’un jeton sur la blockchain. MetaMask précise que la déconnexion d’une application décentralisée n’annule pas les autorisations de jetons déjà accordées. Masquer un jeton dans l’interface d’un portefeuille ne modifie pas non plus les autorisations qui lui sont accordées.
Objectif : identifier l’autorité de dépense sur la blockchain, et non les sites web connectés. Si votre seule action a été « Déconnecter », poursuivez avec un vérificateur d’approbation.
Référence : MetaMask : Comment révoquer les autorisations de contrats intelligents/approbations de jetons .
Légende : Commencez par un inventaire des jetons, des utilisateurs et des allocations. Une entrée « Illimité » mérite d’être examinée, mais n’est pas automatiquement malveillante.
Utilisez un outil de vérification des autorisations pour voir quels sont les dépensiers qui ont actuellement autorité sur vos actifs. Voici trois options utiles :
Comment évaluer le résultat : votre inventaire doit indiquer la collection de jetons ou de NFT, l’adresse du dépensier/opérateur, le réseau et les autorisations actuelles. Conservez les adresses de dépensiers inconnues pour analyse avant de signer quoi que ce soit.
Quand changer d'outil : si un vérificateur ne prend pas en charge votre réseau ou si un jeton non standard n'apparaît pas, utilisez l'explorateur de blocs de confiance de cette chaîne ou examinez directement le contrat du jeton. Aucun indexeur ne peut garantir une visibilité complète pour tous les contrats non standard.
Légende : Examinez chaque approbation dans son contexte : l’actif, le dépensier, le montant, le réseau et si vous utilisez toujours l’application sous-jacente.
Ne révoquez pas automatiquement une autorisation. Une autorisation est une capacité dont certaines fonctionnalités d'applications décentralisées (dApps) dépendent. Revoke.cash précise, par exemple, que la révocation d'une autorisation ne supprime pas les jetons déjà déposés ou mis en jeu, mais qu'une nouvelle autorisation peut être nécessaire avant d'en ajouter d'autres. Certaines annonces sur les plateformes de vente de jetons (NFT) nécessitent également des autorisations actives.
Un ordre de priorité pratique est le suivant :
Signal de qualité : chaque autorisation conservée doit être justifiée. « Je reconnais le protocole et j’ai encore besoin de ce dépensier pour une fonction active » est une justification. « Je l’ai probablement approuvée à un moment donné » n’en est pas une.
Quand ne pas révoquer immédiatement une autorisation : si une autorisation est liée à une liste active, à une automatisation, à un flux de travail de type abonnement ou à une politique de compte intelligent, il est essentiel d’en comprendre d’abord les conséquences opérationnelles. La sécurité s’améliore lorsqu’on supprime les autorisations inutiles, et non lorsqu’on perturbe des flux de travail nécessaires sans les comprendre.
Légende : Utilisez une fonctionnalité de portefeuille officielle, un vérificateur d’approbation réputé ou l’explorateur établi du réseau ; vérifiez le domaine avant de vous connecter.
La révocation est généralement une modification d'état effectuée sur la blockchain. MetaMask indique que la révocation d'une autorisation nécessite une transaction sur la blockchain, ce qui implique généralement des frais de gaz. Etherscan propose également une action « Révoquer » pour les autorisations listées.
Pour la plupart des utilisateurs, les options les plus simples sont la fonction de gestion des approbations intégrée au portefeuille, l'explorateur de la blockchain ou un service spécialisé comme Revoke.cash. Aucune ne devrait nécessiter votre phrase de récupération ni votre clé privée.
Résultat attendu : la transaction que vous vous apprêtez à signer doit réduire ou supprimer une autorisation existante, et non accorder à un nouveau dépensier une autorisation inattendue.
Condition d'arrêt : si un site web vous demande votre phrase de récupération, votre clé privée, un accès de contrôle à distance ou un transfert sans rapport avec la révocation, arrêtez immédiatement. Accédez à l'outil depuis une source officielle et vérifiée de manière indépendante, et non via une publicité ou un message non sollicité.
Légende : La connexion ne constitue qu’une étape d’interface. La révocation effective prend effet lorsque la transaction correspondante sur la blockchain est confirmée.
La connexion au portefeuille permet au site de demander des informations sur le compte et de proposer des actions, mais cette connexion ne constitue pas une révocation. Les instructions actuelles d'Etherscan concernant les portefeuilles indiquent que la connexion n'entraîne aucune signature automatique ; les signatures et les transactions nécessitent toujours l'approbation du portefeuille.
Résultat attendu : confirmer que l’adresse du portefeuille et la blockchain sélectionnées correspondent à l’autorisation que vous souhaitez supprimer.
Quand changer de méthode : si l’outil vous redirige vers une chaîne inattendue ou affiche une adresse différente, annulez avant de signer. Une approbation est spécifique à un réseau ; la révocation d’une approbation sur une chaîne n’entraîne pas la révocation d’une approbation distincte sur une autre chaîne.
Référence : Etherscan : Connectez votre portefeuille .
Légende : Supprimez le minimum d’autorisations nécessaires pour atteindre votre objectif de sécurité ; vous n’avez pas besoin de révoquer toutes les autorisations légitimes en même temps.
Pour une autorisation ERC-20 standard, la révocation consiste généralement à ramener l'autorisation du payeur à zéro. Pour l'accès opérateur ERC-721, la révocation modifie généralement l'approbation de l'opérateur false. Revoke.cash explique que les mêmes fonctions d'approbation sont couramment utilisées pour accorder et révoquer une autorisation ; la valeur passe à zéro ou à faux.
Signal de qualité : l’aperçu de la transaction identifie le contrat du jeton et l’autorisation modifiée. Si votre portefeuille fournit des informations décodées sur la transaction, lisez-les attentivement plutôt que d’approuver par habitude.
Limite : une révocation n’annule pas les transferts déjà effectués. Elle ne permet pas non plus de récupérer les fonds volés. Revoke.cash présente son service comme un outil de prévention plutôt que de récupération.
Référence : FAQ Revoke.cash .
Légende : Avant de confirmer, vérifiez le compte, le réseau, l’interaction contractuelle et les frais de gaz prévus.
La confirmation finale du portefeuille vous permet de corriger les erreurs de chaîne, de compte, d'utilisateur ou de type de transaction. Les frais de gaz varient selon l'état du réseau ; il ne faut donc pas s'attendre à des frais fixes.
Résultat attendu : la transaction en attente correspond à la modification d’autorisation prévue et est envoyée depuis le portefeuille approprié.
Quand arrêter : annulez la transaction si elle transfère des actifs de manière inattendue, autorise un autre utilisateur, fait appel à un contrat sans rapport avec l’opération ou contient des détails incompatibles avec l’action choisie. Un processus sécurisé privilégie la vérification à la rapidité.
Légende : Rouvrez le vérificateur d’approbation après confirmation et vérifiez que l’autorisation est nulle, expirée, fausse ou n’est plus active.
Une transaction soumise peut échouer, rester en attente ou être remplacée. Le résultat en matière de sécurité n'est atteint que lorsque l'état d'autorisation concerné a effectivement changé.
Indicateurs de succès :
isApprovedForAllla valeur est fausse pour l'opérateur que vous avez supprimé.Quand approfondir l'enquête : si une autorisation apparaît toujours après une transaction confirmée, comparez attentivement l'adresse du dépensier et le contrat du jeton. Il est possible que vous ayez révoqué une autorisation alors qu'une autre autorisation (dépensier, proxy, opérateur ou Permit2) reste active.
Légende : Une gestion rigoureuse des autorisations implique de revoir périodiquement les permissions et d’accorder des pouvoirs plus restreints lorsque l’application le permet.
Les approbations ERC-20 classiques ne suffisent pas. Le système Permit2 d'Uniswap permet aux utilisateurs d'approuver le contrat Permit2 au niveau du jeton, puis d'accorder des autorisations de dépense via Permit2. Son interface officielle inclut la gestion du montant des autorisations, leur expiration, l'invalidation du nonce et une lockdownfonction permettant de réinitialiser à zéro certaines autorisations. Consultez le dépôt officiel Permit2 d'Uniswap .
Les signatures d'autorisation ajoutent une difficulté supplémentaire : certaines autorisations sont accordées par le biais de messages signés plutôt que d'être immédiatement enregistrées comme des autorisations de jetons ordinaires. Revoke.cash souligne que les signatures d'autorisation hors chaîne ne peuvent pas être simplement énumérées à partir de la chaîne de la même manière que les approbations standard ; il peut être nécessaire d'invalider les nonces concernés ou l'état d'autorisation spécifique au jeton si vous savez avoir signé une autorisation malveillante.
Résultat attendu : après avoir vérifié les autorisations habituelles, demandez également si vous avez utilisé Permit2 ou signé un message de type autorisation sur un site non fiable.
Quand changer de stratégie : si vous soupçonnez une signature malveillante mais ne parvenez pas à identifier sa forme exacte, cessez toute interaction avec le portefeuille concerné jusqu’à ce que vous compreniez le modèle d’autorisation. Payer aveuglément des frais de gaz pour annuler toutes les autorisations possibles peut s’avérer inutile et ne pas résoudre le problème réel.
| Outil | Meilleure utilisation | Limite importante |
|---|---|---|
| Portefeuille MetaMask | Gestion des plafonds de dépenses des réseaux pris en charge par l'écosystème MetaMask. | La couverture réseau est limitée et peut changer ; vérifiez la compatibilité actuelle avant de vous y fier comme unique source d'information. |
| Vérificateur d'approbation de jetons Etherscan | Examen et révocation des approbations de jetons Ethereum/NFT avec le contexte de l'explorateur. | Il est axé sur Ethereum ; utilisez l’explorateur de réseaux fiable approprié ou un autre outil pour les autres réseaux. |
| Révoquer.cash | Examen, révocation et formation sur les autorisations/autorisations 2 dans le cadre d'un système multi-réseaux. | Aucun système de vérification des approbations ne peut récupérer les actifs volés ni réparer les clés privées compromises. |
| Contrat direct / interface d'explorateur vérifiée | Vérification d'un jeton connu allowance, de l'état de l'opérateur NFT ou d'un comportement non standard lorsque les indexeurs sont incomplets. | Nécessite une attention technique accrue ; vérifiez l’adresse et la fonction du contrat avant d’écrire sur la blockchain. |
Si un attaquant possède la clé, il n'a pas besoin d'autorisation pour autoriser des transactions en votre nom. Revoke.cash précise qu'un portefeuille dont les frais de gaz entrants sont supprimés indique que la phrase de récupération est peut-être compromise et que la révocation des autorisations ne rétablira pas la sécurité du portefeuille.
Meilleure solution : créez un nouveau portefeuille dans un environnement sain et migrez vos actifs en suivant une procédure de récupération rigoureuse. N’utilisez plus l’adresse compromise comme portefeuille sûr à long terme.
Une révocation ultérieure ne peut annuler un transfert blockchain finalisé. Si un actif a déjà disparu, concentrez-vous sur la prévention de toute perte supplémentaire, la documentation des hachages de transaction, la prise de contact avec les fournisseurs de services concernés le cas échéant et le transfert des actifs non affectés si les clés sont susceptibles d'être compromises.
La révocation d'une autorisation supprime le droit de dépenser ultérieurement pour le titulaire de cette autorisation. Elle ne supprime pas le risque lié aux contrats intelligents pour les actifs déjà déposés dans un protocole, un pont, un coffre-fort ou un contrat de staking.
Pour un meilleur résultat : évaluez s’il est nécessaire de retirer la position elle-même. La gestion des autorisations et des risques liés aux protocoles résout des problèmes différents.
MetaMask documente de nouvelles autorisations avancées basées sur la norme ERC-7715, qui peuvent inclure des limites de montant, des accès récurrents et des dates d'expiration. Ces autorisations diffèrent des autorisations de jetons classiques et sont gérées via l'interface d'autorisation du compte intelligent.
Pour un meilleur résultat : examiner à la fois les approbations de jetons traditionnelles et les autorisations au niveau du compte. Une liste exhaustive des jetons ERC-20 autorisés ne décrit pas nécessairement toutes les capacités offertes par un compte intelligent.
Référence : MetaMask : Comprendre les autorisations avancées .
Avant de déclarer le nettoyage terminé, vérifiez les points suivants :
L'objectif principal n'est pas de se contenter d'une liste d'autorisations vide à tout prix. Il s'agit plutôt d'un portefeuille dont les autorisations restantes sont clairement définies, volontairement limitées et adaptées à votre utilisation. La révocation des autorisations des contrats intelligents est un outil de maintenance précieux, mais son efficacité est optimale lorsqu'il s'inscrit dans un processus de sécurité plus global comprenant une signature rigoureuse, la vérification des contrats, la protection des clés et une répartition réaliste des risques.
Cet article a une vocation pédagogique et ne constitue en aucun cas un conseil financier, juridique ou de sécurité. Les autorisations des contrats intelligents et les fonctionnalités des portefeuilles évoluent ; vérifiez la compatibilité réseau et les détails de la transaction avant de signer.
Utilisez cette checklist crypto du 4e trimestre pour rééquilibrer vos allocations, contrôler la concentration, revoir les impôts et la conservation de vos actifs, et aborder la fin de l'année avec un plan de gestion des risques rigoureux.
Découvrez comment la tokenisation RWA relie les bons du Trésor à la finance blockchain, en utilisant BlackRock BUIDL pour expliquer la propriété, la garde, l'accès, le rendement et le risque.
Comparez les flux de données Chainlink avec Pyth Core et Pyth Pro, notamment les mises à jour push et pull, la latence, la sécurité, les coûts et les changements d'intégration de 2026.
Apprenez à identifier les divergences haussières et baissières du RSI, à confirmer les configurations de retournement, à éviter les faux signaux, à choisir les paramètres du RSI et à utiliser une liste de contrôle pratique pour le trading.
Une analyse vérifiée des lancements de jeux Web3 les plus prometteurs du quatrième trimestre 2026, notamment Off The Grid, NIGHT CROWS W, Yakkamon et les principaux risques pour l'écosystème.
Découvrez comment les hooks Uniswap v4 personnalisent les pools de liquidités, des frais dynamiques aux contrôles d'accès, et comparez les avantages pratiques, les risques et les cas d'utilisation.
L'IA peut accélérer le développement des contrats intelligents, mais le code généré nécessite toujours une relecture humaine, des tests, des bibliothèques sécurisées et des audits. Comparez les opportunités et les risques réels.
Comparez les principaux agrégateurs d'actualités et plateformes de recherche crypto pour le trading professionnel, notamment CryptoPanic, Kaito, Messari, Glassnode, Nansen, Arkham et Coin Metrics.
L'offre de Bitcoin est fixe, mais cela n'en fait pas pour autant une protection parfaite contre l'inflation. Découvrez dans quelles situations le BTC peut être utile, dans quelles situations il peut échouer, et comment tester cette hypothèse.
Une analyse approfondie de cinq jetons de couche 2 qui pourraient être sous-évalués en 2026, axée sur leur utilité, la capture de valeur, le risque de déverrouillage et les catalyseurs en direct.
