Téléchargement et vérification · revu le 2026-08-10
Télécharger Sparrow Wallet, et prouver que le fichier est authentique
La version courante de Sparrow est la 2.5.3, signée le
29 July 2026. Il existe un seul endroit pour l’obtenir, et une seule procédure
capable de vous dire si ce qui a atterri dans votre dossier de téléchargements est bien le
logiciel construit par le développeur. Cette page couvre les deux, puis les détails
d’installation pour Ubuntu, les autres distributions Linux, macOS et Windows.
Illustration. La seule chose qui fonde la confiance dans un build, c’est une signature
que vous avez vérifiée vous-même.
De quel fichier avez-vous réellement besoin ?
Tous les builds publiés pour la version 2.5.3 sont listés ci-dessous, avec le
nom de fichier exact qu’ils portent dans le manifeste signé. Choisissez l’onglet de la
machine sur laquelle vous installez, pas celui de la machine depuis laquelle vous
naviguez.
macOS (Apple silicon)Sparrow-2.5.3-aarch64.dmgMac à puce M
macOS (Intel)Sparrow-2.5.3-x86_64.dmgmacOS 11 ou version ultérieure
Vérifiez avant d’installer
Trois commandes, dans cet ordre. Ce que chacune démontre est détaillé dans le guide ci-dessous.
Importez la clé de signature, puis contrôlez l’empreinte caractère par caractère : gpg --recv-keys D4D0D3202FC06849A257B38DE94618334C674B40
Vérifiez la signature du manifeste, et non celle de l’installeur : gpg --verify sparrow-2.5.3-manifest.txt.asc sparrow-2.5.3-manifest.txt
Confirmez que votre fichier correspond à l’empreinte inscrite dans le manifeste vérifié : sha256sum -c sparrow-2.5.3-manifest.txt
Les noms de fichiers ci-dessous sont ceux publiés dans le manifeste signé de cette version. Si un site vous propose un build portant un autre nom, vous n’êtes pas sur la page de téléchargement officielle.
L’installeur, c’est ce que vous exécutez. Le manifeste, c’est une liste signée
d’empreintes qui décrit chaque installeur de la version. Vous vérifiez le manifeste,
puis vous vous en servez pour juger l’installeur. Dans l’autre sens, la démonstration
ne vaut rien.
Sparrow est un logiciel de bureau : il n’existe ni extension de navigateur, ni build
mobile à télécharger. Voir
ce que fait l’application de bureau.
À lire avant de lancer une recherche
C’est sur la page de téléchargement que l’argent se vole
Personne ne casse le chiffrement. On vous remet un portefeuille qui était malveillant avant
même que vous y saisissiez le premier mot de votre phrase de récupération. Trois chemins
expliquent la quasi-totalité des cas.
Les résultats de recherche payants
Les annonces se placent au-dessus du vrai résultat et peuvent pointer n’importe où. Le
téléchargement d’un portefeuille est précisément la requête pour laquelle un attaquant
paiera volontiers au clic : une seule installation réussie rembourse toute la campagne.
Faites défiler au-delà du bloc publicitaire, chaque fois.
Les domaines sosies
Ces domaines changent une lettre, ajoutent un tiret, ajoutent un mot comme « app »,
« wallet » ou « official », ou modifient l’extension. La page est une copie au pixel de
la vraie, empreinte et manifeste compris — qui se vérifient parfaitement, mais contre la
clé de l’attaquant.
Les inconnus serviables
Un lien dans un groupe de discussion, un commentaire, un message privé d’« assistance »,
un QR code dans la description d’une vidéo. Quiconque vous envoie l’installeur d’un
portefeuille, surtout en vous aidant à résoudre un problème, doit être considéré comme
hostile jusqu’à ce que le fichier passe la vérification.
La règle
Atteignez la page de téléchargement en tapant le domaine officiel dans la barre d’adresse,
ou depuis un favori que vous avez créé après l’avoir tapé. Jamais depuis une annonce, un
résultat de recherche lu trop vite, ou un lien que quelqu’un vous a envoyé.
La pièce maîtresse
Vérifier le téléchargement : signature PGP, puis empreinte SHA-256
Comptez environ cinq minutes la première fois, moins d’une minute ensuite. C’est la seule
étape de cette page qui ne se saute pas, car c’est elle qui décide si le logiciel qui
détiendra vos clés a été écrit par le développeur ou par quelqu’un d’autre.
Un téléchargement de portefeuille non vérifié n’est pas un téléchargement de portefeuille
C’est un programme inconnu à qui vous êtes sur le point de confier les mots de votre phrase
de récupération. Le fichier est peut-être authentique, et il l’est le plus souvent. Vous
n’avez aucun moyen de le savoir avant de contrôler, et quand un build altéré vous a affiché
une adresse de réception, il est déjà trop tard : un portefeuille modifié peut générer des
adresses qui appartiennent à l’attaquant, ou recopier discrètement la graine qu’il vient de
vous faire noter.
Ce que chaque commande démontre
Beaucoup de gens exécutent ces commandes sans savoir ce qu’elles établissent, et c’est
exactement pour cela qu’un faux site peut leur faire dérouler une « vérification » contre sa
propre clé. Le raisonnement est une chaîne à trois maillons. L’empreinte identifie la
clé dont vous attendez qu’elle ait signé la version. La signature prouve que le
manifeste a été produit par le détenteur de cette clé et n’a pas été modifié depuis.
L’empreinte SHA-256 prouve que le fichier sur votre disque est, octet pour octet,
celui que ce manifeste décrit. Rompez un maillon et les deux autres ne veulent plus rien dire.
C’est aussi pourquoi l’empreinte de la clé mérite du soin. Contrôlez-la face à la page de
téléchargement officielle, et idéalement face à une copie que vous avez conservée d’une
version précédente ou trouvée dans une seconde source indépendante. Une empreinte lue sur la
page même qui vous a servi l’installeur est un contrôle faible, mais il reste infiniment
meilleur que pas de contrôle du tout.
Installez GnuPG si vous ne l’avez pas déjà
Le contrôle des signatures passe par GnuPG. Sous Debian ou Ubuntu : sudo apt install gnupg ; sous Fedora : sudo dnf install gnupg2 ; sous macOS, passez par Homebrew (brew install gnupg) ou par le paquet GPG Suite ; sous Windows, installez Gpg4win, qui met une commande gpg à votre disposition dans PowerShell.
Assurez-vous que tout fonctionne avec gpg --version avant de continuer.
Importez la clé qui signe les versions
Récupérez la clé sur un serveur de clés : gpg --recv-keys D4D0D3202FC06849A257B38DE94618334C674B40. Affichez ensuite ce que vous venez réellement d’importer : gpg --fingerprint D4D0D3202FC06849A257B38DE94618334C674B40.
Comparez les 40 caractères avec l’empreinte publiée sur la page de téléchargement officielle. N’importe qui peut déposer une clé sur un serveur de clés sous n’importe quel nom : ce serveur est un moyen de distribution, pas une autorité. Seule l’empreinte compte, et le signataire de cette version est Craig Raw .
Téléchargez l’installeur, le manifeste et la signature
Depuis la page de téléchargement officielle, prenez trois fichiers : le build correspondant à votre plateforme, le manifeste sparrow-2.5.3-manifest.txt et sa signature détachée sparrow-2.5.3-manifest.txt.asc. Placez les trois dans le même dossier et ouvrez-y un terminal.
Ne mélangez pas les sources. Un manifeste venu d’un endroit et un installeur venu d’un autre ne démontrent absolument rien.
Vous attendez une ligne Good signature from "Craig Raw ", suivie d’une empreinte de clé primaire identique à celle de l’étape deux. Un WARNING: This key is not certified with a trusted signature en fin de sortie est normal jusqu’à ce que vous signiez la clé localement : cela signifie « je n’ai pas dit à GnuPG que je fais confiance à cette identité », et non « la signature a échoué ». Ce qui ne doit jamais apparaître, c’est BAD signature. Si cela arrive, supprimez tous les fichiers et repartez de zéro depuis le domaine officiel.
Contrôlez votre fichier face aux empreintes du manifeste
Le manifeste n’est qu’une liste d’empreintes SHA-256, et il est désormais prouvé qu’elle provient du signataire. Sous Linux, lancez sha256sum --ignore-missing -c sparrow-2.5.3-manifest.txt et cherchez le OK en face de votre fichier. Sous macOS, lancez shasum -a 256 Sparrow-2.5.3-aarch64.dmg et comparez la sortie avec la ligne correspondante du manifeste. Sous Windows, certutil -hashfile Sparrow-2.5.3.msi SHA256 fait le même travail, la casse des lettres n’ayant aucune importance.
Une empreinte, c’est tout ou rien. Un seul caractère différent signifie un autre fichier.
Installez, puis conservez l’empreinte
C’est seulement maintenant que vous lancez l’installeur. Enregistrez l’empreinte dans un endroit qui vous appartient — une note dans votre gestionnaire de mots de passe, par exemple — afin de comparer la prochaine version à votre propre relevé plutôt qu’à ce qu’une page web affichera ce jour-là.
N’installez pas « juste cette fois ». Une signature en échec a trois causes plausibles : un
téléchargement tronqué, un mauvais appariement des fichiers, ou un build qui n’est pas ce
qu’il prétend être. Les deux premières s’écartent gratuitement en téléchargeant de nouveau.
Si un téléchargement neuf depuis le domaine tapé à la main échoue encore, arrêtez-vous et
considérez la machine et le chemin réseau comme suspects.
La règle des deux lignes
Vos 12 ou 24 mots de récupération sont le portefeuille. Écrivez-les sur papier, jamais dans une photo, une note cloud ou un gestionnaire de mots de passe, et ne les saisissez jamais sur un site, dans une messagerie ou auprès d'un faux « support » : aucune personne légitime ne vous les demandera.
L’installation, plateforme par plateforme
Les différences sont minces, mais chacune a sa manière de faire trébucher. Vérifiez d’abord,
puis suivez les notes qui concernent votre système.
Ubuntu, Debian et dérivées
Installez le paquet avec apt, pour qu’il gère les dépendances et l’entrée de menu à
votre place : sudo apt install ./sparrowwallet_2.5.3-1_amd64.deb en x86-64, ou
./sparrowwallet_2.5.3-1_arm64.deb en ARM64.
Le ./ a son importance. Sans lui, apt prend l’argument pour un nom de
paquet dans les dépôts que vous avez configurés, ne le trouve pas, et vous annonce que
le paquet est introuvable. Cette seule erreur explique l’essentiel des questions
« installer Sparrow sur Ubuntu ».
L’application apparaît ensuite dans votre menu. La mise à jour, c’est la même commande
avec le fichier plus récent — après l’avoir vérifié lui aussi.
Fedora, RHEL et openSUSE
Prenez le rpm : sudo dnf install ./sparrowwallet-2.5.3-1.x86_64.rpm, ou le rpm
aarch64 sur matériel ARM64. Sur les systèmes dépourvus de dnf,
sudo rpm -i fait la même chose.
Comme pour le deb, désignez au gestionnaire de paquets le fichier local plutôt qu’un
nom de dépôt. Il n’existe aucun dépôt tiers que vous devriez ajouter pour cela.
L’archive Linux portable
Extrayez avec tar xzf sparrowwallet-2.5.3-x86_64.tar.gz, puis lancez le programme de
démarrage situé dans le dossier extrait. Rien n’est écrit en dehors de ce répertoire et
aucun accès root n’est nécessaire.
C’est le build à utiliser sur une machine dont vous n’êtes pas administrateur, sur une
distribution immuable, ou quand vous voulez garder deux versions côte à côte le temps
de tester une mise à jour.
macOS : Apple silicon ou Intel
Deux images disque distinctes. Les Mac Apple silicon (série M) prennent le
.dmgaarch64 ; les anciens Mac Intel prennent celui en
x86_64. En cas de doute, regardez la ligne consacrée à la puce sous
Apple menu › About This Mac (« menu Pomme › À propos
de ce Mac »).
Ouvrez l’image et glissez l’application dans Applications, comme d’habitude. macOS 11
est le minimum. Le build Intel tourne sur Apple silicon par traduction, mais rien ne
justifie d’en accepter la pénalité.
Windows : installeur ou portable
Le .msi est un installeur classique et le bon choix par défaut sur Windows
10 ou version ultérieure. Le .zip contient la même application sans
installeur : décompressez-la où vous voulez et exécutez-la sur place, ce qui convient
aux machines verrouillées et aux supports amovibles.
Le contrôle des empreintes sous Windows ne demande aucun logiciel supplémentaire :
certutil -hashfile <fichier> SHA256 est intégré au système.
ARM64 et Raspberry Pi
Des builds ARM64 existent dans les trois formats Linux : un Raspberry Pi 4 ou 5 en
64 bits, comme un serveur ARM, fait tourner exactement le même portefeuille qu’un
ordinateur de bureau.
La motivation habituelle consiste à installer le portefeuille sur la machine qui héberge
déjà votre nœud, ce qui supprime le saut réseau entre les deux. Voir
connecter Sparrow à votre propre nœud.
La configuration requise, sans exagération
Sparrow est peu exigeant, à l’échelle des portefeuilles, parce qu’il ne valide pas
lui-même la chaîne. Il demande à un serveur au protocole Electrum l’historique de vos
adresses et construit sa vision de votre solde à partir de là : voilà ce que « client
léger » signifie en pratique.
Deux conséquences en découlent. L’installation reste légère et démarre en quelques
secondes, même sur du matériel modeste. Et l’opérateur du serveur voit quelles adresses
vous avez interrogées : l’aboutissement, pour qui se soucie de confidentialité, c’est
donc un Sparrow qui dialogue avec un nœud que vous exploitez, via Tor si vous le
souhaitez.
Il vaut aussi la peine de savoir que Sparrow est une application Java/JavaFX, et que
vous n’installez pourtant jamais Java. Chaque build embarque son propre environnement
d’exécution : aucun JDK à gérer, aucune incompatibilité de version à déboguer.
Compilé à partir des builds par plateforme et de la prise en charge système publiés par le projet Sparrow.
Élément
Ce qu’il vous faut
Détail
Windows
Windows 10 ou version ultérieure
Installeur .msi, ou .zip portable exécutable depuis un simple dossier
macOS
macOS 11 (Big Sur) ou version ultérieure
Deux images .dmg distinctes, pour Apple silicon et pour Intel
Linux
x86-64 ou ARM64
.deb, .rpm et une archive autonome pour chaque architecture
Environnement Java
Rien à installer
Sparrow est une application Java/JavaFX, mais chaque build publié embarque son propre environnement d’exécution. Vous n’installez aucun JDK.
Espace disque
Modeste
C’est un client léger : il stocke votre fichier de portefeuille et un cache de transactions, pas la chaîne de blocs.
Logiciel libre, sans compte, sans offre payante, financé par les dons
Ce que nous recommandons
Tapez le domaine officiel. Prenez le build qui correspond à votre matériel réel. Vérifiez
la signature du manifeste et l’empreinte de votre fichier avant même de lancer l’installeur.
Conservez ensuite l’empreinte dans vos propres notes, pour que la prochaine version soit
contrôlée face à quelque chose qu’un attaquant ne peut pas modifier.
Si cette séquence vous paraît beaucoup de cérémonie pour un logiciel gratuit, changez de
cadre : ce n’est pas le téléchargement que vous protégez, c’est tout ce que vous placerez un
jour derrière lui. L’habitude de vérifier coûte une minute par version et élimine l’attaque
la plus efficace contre les utilisateurs en auto-conservation.
Les questions que l’on pose vraiment sur le téléchargement
Quelle est la dernière version de Sparrow Wallet ?
La version actuelle est la 2.5.3, signée le 29 July 2026 d’après la page de téléchargement officielle. Les numéros de version bougent : traitez donc tout chiffre lu sur un site tiers, celui-ci compris, comme une indication, et confirmez-le face au manifeste officiel du build que vous allez exécuter.
Où se trouve le téléchargement officiel de Sparrow Wallet ?
Un seul domaine : sparrowwallet.com/download/. Le projet publie aussi le code source et les artefacts de version sur GitHub, sous sparrowwallet/sparrow. Tapez le domaine vous-même, plutôt que de suivre une annonce publicitaire, un lien de forum ou le message d’un inconnu.
Comment installer Sparrow Wallet sur Ubuntu ?
Téléchargez le .deb ARM64 ou x86-64 correspondant à votre machine, vérifiez-le, puis lancez sudo apt install ./sparrowwallet_2.5.3-1_amd64.deb depuis le dossier qui contient le fichier. Le ./ initial n’est pas facultatif : sans lui, apt cherche un paquet de dépôt portant ce nom et échoue. Debian, Linux Mint et Pop!_OS se comportent de la même façon.
Faut-il installer Java au préalable ?
Non. Sparrow est écrit pour Java et JavaFX, mais chaque build publié embarque son propre environnement d’exécution. Installer un JDK système ne sert à rien et ne change pas l’environnement utilisé par l’application.
Sparrow fonctionne-t-il sur un Raspberry Pi ?
Des builds ARM64 existent dans les trois formats Linux : un Raspberry Pi 4 ou 5 en 64 bits, comme un serveur ARM, peut donc le faire tourner. L’associer à un nœud installé sur la même machine est la raison habituelle de ce choix.
Sparrow télécharge-t-il toute la chaîne de blocs ?
Non. C’est un client léger : il demande à un serveur l’historique de vos propres adresses. L’installation reste donc légère, mais c’est aussi un compromis sur la confidentialité — celui qui exploite le serveur apprend quelles adresses vous intéressent, et c’est pourquoi faire tourner le vôtre reste l’objectif recommandé.
Existe-t-il un téléchargement pour Android ou iPhone ?
Non. Sparrow est un logiciel de bureau uniquement, et les applications qui reprennent son nom sur les magasins mobiles sont des impostures. Lisez notre état des lieux sur le mobile avant d’installer quoi que ce soit sur un téléphone.
