sparrow-wallet.app Guide indépendant Acheter et auto-conserver

Multisig · revu le 2026-08-10

Multisig dans Sparrow Wallet : lisez l’avertissement avant de lire le guide

Le multisig remplace un point de défaillance unique par un quorum : plusieurs clés existent, et seules quelques-unes suffisent à dépenser. Sparrow l’implémente correctement, avec des descripteurs de sortie et une collaboration PSBT complète. C’est aussi deux fois plus de choses à rater — et la perte de fonds la plus courante en multisig n’a rien à voir avec un attaquant.

Achetez des bitcoins à confier à votre propre quorum

  • Multisig k parmi n
  • Cosignataires matériels
  • Collaboration PSBT
  • Descripteurs de sortie
  • Pas d’éditeur miniscript

Non officiel

À qui le multisig convient, et à qui il ne convient pas

Commençons par le verdict, parce que l’enfouir serait malhonnête. Si vous détenez un montant modeste, un seul portefeuille matériel avec une sauvegarde que vous avez réellement testée est plus sûr qu’un 2 sur 3 mal tenu. La complexité est en soi un mode de défaillance. Un quorum que vous ne comprenez pas entièrement, dont vous n’avez jamais imprimé le descripteur, dont la troisième clé dort dans un tiroir que vous oublierez, n’est pas trois fois plus sûr : il offre trois fois plus d’occasions de cesser silencieusement de fonctionner.

Nous ne plaidons pas contre le multisig, mais contre le fait de l’adopter comme un trophée. Le test honnête consiste à répondre à quatre questions sans rien consulter : où se trouve chaque clé, quel est le type de script, où le descripteur est-il rangé, et à quand remonte la dernière fois où vous avez prouvé pouvoir dépenser en n’utilisant que vos sauvegardes. Si une seule réponse reste floue, réglez d’abord votre configuration à signature unique.

Le multisig est le bon choix quand

  • Le solde est assez important pour que la perte d’un appareil, ou la découverte d’une phrase de récupération, constitue un véritable désastre et non un simple désagrément.
  • Vous voulez une séparation géographique — des clés dans des bâtiments, des villes ou des pays différents — afin qu’un incendie, un cambriolage ou une perquisition ne puisse atteindre un quorum de dépense.
  • Les fonds sont partagés : trésorerie d’entreprise, patrimoine familial, association où aucune personne seule ne devrait pouvoir déplacer l’argent.
  • Vous montez un plan de succession et souhaitez qu’un tiers de confiance détienne une clé inutilisable à elle seule.
  • Vous vous méfiez suffisamment de chaque fabricant de matériel pour vouloir répartir le quorum entre trois d’entre eux.

Restez à la signature unique quand

  • Vous débutez en auto-conservation. Apprenez à réaliser et à vérifier une sauvegarde avant d’en gérer trois.
  • Le montant correspond à ce que vous laisseriez sur un compte courant. La lourdeur n’est pas gratuite et le risque écarté reste faible à ce niveau.
  • Vous dépensez souvent depuis ce portefeuille. Chaque dépense exige deux appareils et deux validations, et la friction pousse aux raccourcis.
  • Personne d’autre ne saurait reconstituer votre installation si vous n’étiez plus là. Un multisig que vous seul savez manœuvrer est un problème de succession déguisé en progrès de sécurité.

Si un portefeuille à signature unique protégé par une passphrase, sur un bon appareil, couvre votre modèle de menace, c’est une réponse parfaitement légitime et vous pouvez vous arrêter ici. Lisez plutôt la page consacrée au modèle de menace et le comparatif des portefeuilles matériels.

Avant de commencer, ayez ceci sous la main

Appareils
Trois signataires, idéalement de trois fabricants différents.
Sparrow
Une installation vérifiée — voir télécharger et vérifier.
Support
Une carte microSD pour les signataires air-gapped, ou un câble pour les autres.
Papier
Trois sauvegardes de phrase, et de quoi imprimer le descripteur.
Temps
Une soirée sans hâte. Pas entre deux réunions.

La primitive

Ce qu’est réellement un quorum

Un portefeuille multisig est défini par une règle inscrite dans le script Bitcoin qui verrouille les pièces : k signatures parmi n clés possibles sont nécessaires pour dépenser. C’est le réseau qui applique cette règle. Ce n’est pas une politique que votre logiciel promet de respecter, et aucune société ne peut la contourner.

Si le 2 sur 3 fait office de choix par défaut raisonnable, c’est parce qu’il s’agit du plus petit quorum qui protège simultanément contre deux défaillances véritablement différentes.

Le vol d’un appareil. Un attaquant qui vole un signataire, ou trouve une phrase de récupération, obtient exactement une clé. Une clé ne signe rien. Il lui en faut une seconde, ailleurs, ce qui suppose un tout autre cambriolage.

La perte d’un appareil. Un disque lâche, un logement est inondé, une carte de sauvegarde disparaît. Il vous reste deux clés, donc un quorum de dépense : vous déplacez les fonds vers un portefeuille neuf et reconstruisez. Vous n’aurez perdu qu’un après-midi.

Le 2 sur 2 vous donne la première propriété et détruit la seconde, ce qui explique qu’il ne soit presque jamais la bonne réponse pour une épargne personnelle. Notez aussi ce que le 2 sur 3 ne vous apporte pas : ce n’est pas un dispositif de secours pour un descripteur mal rangé, et il ne vous protège en rien si les trois clés dorment dans le même bâtiment.

Clé A — domicile signed Clé B — bureau signed Clé C — tiers de confiance not needed PSBT Quorum 2 sur 3 Dépense autorisée Deux signatures suffisent à déplacer les fonds. La perte d’un appareil n’est pas fatale.
Deux signatures sur trois autorisent la dépense. La troisième clé peut être perdue ou volée sans mettre fin au portefeuille — à condition qu’elle ne soit pas rangée à côté de l’une des autres.

Les options de quorum comparées

Appréciation de ce site. Sparrow gère le multisig k parmi n sur les types de script courants.
QuorumProtège contreNécessaire pour dépenserVerdict
1 sur 1 (signature unique)RienUn appareil, une phrase de récupérationLe plus simple. Une seule phrase volée le vide ; une seule sauvegarde perdue y met fin.
2 sur 2Le vol d’un appareilLes deux appareils, les deux sauvegardesAjoute la résistance au vol et supprime la résistance à la perte. Rarement la bonne réponse.
2 sur 3Le vol d’un appareil et la perte d’un appareilDeux appareils quelconques sur troisLe choix par défaut raisonnable. Survit à une défaillance de l’un comme de l’autre type.
3 sur 5Le vol de deux appareils au plus, la perte de deux au plusTrois appareils quelconques sur cinqPour une conservation partagée ou institutionnelle. Cinq sauvegardes à gérer, c’est un coût bien réel.

Étape par étape

Créer un portefeuille multisig 2 sur 3 dans Sparrow

Neuf étapes, dans l’ordre, vérifications comprises plutôt que laissées en exercice. Si c’est votre première tentative, déroulez d’abord la totalité sur un portefeuille sans le moindre euro dedans.

  1. Décidez du quorum et du lieu physique où vivra chaque clé

    Avant de toucher au logiciel, notez sur papier quels trois appareils vous allez utiliser et où chacun sera rangé. Deux appareils dans le même tiroir, c’est un 2 sur 3 sur le papier et un 1 sur 1 dans la réalité. Mieux vaut trois fabricants différents que trois exemplaires du même modèle : aucun constructeur, aucun bogue de micrologiciel ne devient alors un point de défaillance commun.

  2. Récupérez une clé publique étendue sur chacun des trois appareils

    Une xpub est une clé publique étendue : elle permet à Sparrow de dériver toutes les adresses de réception de cette clé et de les surveiller, mais elle ne peut rien dépenser. Exportez-en une depuis chaque signataire — par USB, ou sous forme de fichier ou de QR code depuis un appareil air-gapped, c’est-à-dire isolé de tout réseau. Relevez le chemin de dérivation affiché à côté de chaque xpub. Gardez les trois exports bien distincts : un trousseau mal étiqueté est la première cause d’un portefeuille qui refuse de signer.

  3. Créez le portefeuille multisig et choisissez le type de script

    Dans Sparrow, créez un nouveau portefeuille et réglez la politique sur multisignature, avec un seuil de 2 et un total de 3 cosignataires. Choisissez le type de script une fois pour toutes et n’y revenez plus : le segwit natif (P2WSH) est le choix moderne habituel, et tous les cosignataires doivent s’accorder dessus. Un portefeuille bâti avec le mauvais type de script produira des adresses qu’aucune de vos tentatives de récupération ne retrouvera.

  4. Importez les trousseaux un par un

    Ajoutez les trousseaux 1, 2 et 3 à partir des trois xpub exportées, en donnant à chacun une étiquette qui nomme l’appareil physique et son emplacement. Vérifiez que l’empreinte maîtresse et le chemin de dérivation affichés par Sparrow pour chaque trousseau correspondent à ce que l’appareil lui-même a indiqué. Les trois une fois en place, Sparrow peut construire le portefeuille et commencer à analyser l’historique.

  5. Enregistrez le portefeuille sur les appareils qui l’exigent

    Certains signataires doivent connaître le quorum avant d’accepter de signer pour lui. Exportez la configuration du portefeuille depuis Sparrow et chargez-la sur l’appareil : sur une Coldcard, c’est un fichier écrit sur la carte microSD ; sur un Ledger, c’est l’enregistrement d’une politique de portefeuille que vous confirmez à l’écran de l’appareil. Un appareil qui réclame cette étape et ne l’a pas reçue refuse purement et simplement de signer — comportement correct, qui ressemble pourtant à un bogue.

  6. Vérifiez une adresse de réception de façon indépendante sur plusieurs appareils

    Générez la première adresse de réception dans Sparrow, puis affichez et confirmez cette même adresse sur au moins deux des trois appareils de signature. C’est l’étape que tout le monde saute, et c’est celle qui valide l’ensemble de la construction : si deux appareils indépendants, détenant chacun une clé différente, dérivent une adresse identique, alors le quorum que vous avez sauvegardé est bien celui que vous croyez. Si un appareil affiche une autre adresse, arrêtez-vous et revérifiez les trousseaux avant que le moindre bitcoin ne bouge.

  7. Sauvegardez le descripteur de sortie auprès de chaque phrase de récupération

    Exportez le descripteur de sortie du portefeuille — cette chaîne de texte compacte qui consigne le type de script, le seuil, les trois clés publiques étendues et leurs chemins de dérivation. Imprimez-le. Rangez-en un exemplaire avec chacune des trois sauvegardes de phrase, afin que le descripteur se trouve à côté de la première sauvegarde que le vous du futur mettra la main dessus. Ce ne sont pas des métadonnées facultatives : lisez l’avertissement ci-dessous avant de poursuivre.

  8. Testez avec un petit dépôt, puis testez une dépense complète

    Envoyez un montant dérisoire — assez pour mériter des frais, assez faible pour que le perdre soit une leçon et non une perte. Vérifiez qu’il apparaît. Construisez ensuite une transaction qui le renvoie vers l’extérieur, signez avec deux des trois appareils, finalisez et diffusez. Recommencez avec chaque paire d’appareils si vous en avez la patience : 1+2, 1+3, 2+3. Ce n’est qu’une fois les trois paires capables de dépenser que vous savez détenir un vrai 2 sur 3, et non un 3 sur 3 involontaire.

  9. Approvisionnez pour de bon, puis rédigez les instructions de récupération

    Faites entrer le solde réel. Rédigez ensuite, en langage clair, une page décrivant ce qu’est ce portefeuille, quel appareil détient quelle clé, où se trouve le descripteur et quel logiciel installer — adressée à quelqu’un qui n’a jamais utilisé Bitcoin. Rangez-la avec les sauvegardes. Voir la configuration de la phrase de récupération et de la passphrase pour rendre ces sauvegardes durables.

La signature : comment une PSBT circule entre cosignataires

Une PSBT est une transaction Bitcoin partiellement signée — un conteneur standard qui renferme une transaction non signée ou à demi signée, plus tout ce dont un signataire a besoin pour l’inspecter. Sparrow a été bâti autour des PSBT dès l’origine, et c’est ce qui rend le multisig praticable d’un appareil à l’autre comme à distance.

  1. Sparrow construit la PSBT non signée

    Vous sélectionnez les pièces, fixez la destination et le montant, puis choisissez un niveau de frais dans l’éditeur de transaction. Sparrow produit une PSBT complète, aux signatures près. À ce stade elle est inoffensive : elle ne déplace rien et ne révèle aucune clé.

  2. Le premier signataire ajoute une signature

    En USB, Sparrow pousse la PSBT vers l’appareil connecté et en reçoit la signature en retour. Pour un signataire air-gapped, Sparrow écrit la PSBT sur une carte SD ou l’affiche sous forme de QR code animé ; l’appareil signe hors ligne, et le résultat partiellement signé revient par le même chemin. Vérifiez l’adresse de destination et le montant sur l’écran de l’appareil, pas sur votre moniteur.

  3. Le deuxième signataire ajoute la seconde signature

    Répétez avec le deuxième appareil. La PSBT porte désormais deux signatures, soit le seuil. La troisième clé n’a pas été touchée et reste où elle est.

  4. Sparrow combine et finalise

    Sparrow fusionne les signatures collectées et finalise la PSBT en une transaction complète et valide. S’il manque une signature, ou si un signataire en a produit une pour la mauvaise politique, c’est ici que cela devient évident — et rien n’a encore été diffusé.

  5. Diffusion

    Sparrow envoie la transaction achevée au réseau via le serveur que vous avez configuré. Diffuser depuis votre propre nœud évite en outre de livrer à un tiers le lien entre votre transaction et votre adresse IP.

Le cosignataire qui se trouve ailleurs

La distance est la raison d’être du multisig : le circuit est donc conçu pour elle. Une fois votre propre signature ajoutée, enregistrez la PSBT partiellement signée dans un fichier et transmettez-la à votre cosignataire par n’importe quel canal — courriel, messagerie, disque partagé. Elle ne contient aucune clé privée.

Il ouvre le fichier dans sa propre copie de Sparrow, avec le même portefeuille multisig chargé pour que son appareil reconnaisse la politique, et signe avec sa clé. Il vous renvoie le fichier ; vous combinez, finalisez et diffusez.

Une discipline s’impose : le signataire distant doit contrôler l’adresse de destination et le montant sur l’écran de son propre appareil et, idéalement, confirmer les détails du paiement avec vous par un canal différent de celui qui a acheminé le fichier. Une PSBT n’est pas secrète, ce qui signifie aussi que quiconque l’intercepte voit ce que vous faites — et un cosignataire qui signe tout ce qui lui arrive n’apporte pas beaucoup de sécurité.

Source: sparrowwallet.com — fonctionnalités, prise en charge des PSBT et multisig

Les questions que l’on pose vraiment sur le multisig

Sparrow Wallet gère-t-il le multisig ?

Oui, et ce n’est pas un module ajouté : le multisig est une fonctionnalité de premier plan. Sparrow crée des portefeuilles multisig k parmi n sur les types de script courants, importe des trousseaux depuis des appareils matériels, des phrases logicielles ou des xpub en lecture seule, exporte et importe les descripteurs de sortie, et prend en charge tout le circuit de collaboration PSBT entre cosignataires.

Un multisig 2 sur 3 est-il vraiment plus sûr qu’un seul portefeuille matériel ?

Face au vol et à la défaillance d’un appareil, oui. Face à vos propres erreurs, souvent non. Un 2 sur 3 suppose trois phrases de récupération, un descripteur, trois lieux de stockage et une procédure de signature à retenir : autant d’occasions de se tromper. Pour un solde modeste, un bon portefeuille matériel avec une sauvegarde que vous avez réellement testée est le choix le plus sûr dans le monde réel. Le multisig justifie sa complexité quand le montant devient tel que la perte ou le vol d’un seul appareil serait un désastre.

Puis-je récupérer un portefeuille multisig à partir des seules phrases de récupération ?

Pas de manière fiable, et vous devez partir du principe que la réponse est non. Pour reconstruire le portefeuille, il vous faut aussi la configuration du quorum : le type de script, les chemins de dérivation et l’ensemble des clés publiques étendues. C’est précisément ce que consigne le descripteur de sortie. Des gens ont perdu l’accès à leurs fonds en détenant trois phrases de récupération parfaitement valides, simplement parce que personne n’avait noté le descripteur. Sauvegardez-le auprès de chaque phrase.

Sparrow prend-il en charge miniscript ?

Le multisig de Sparrow repose sur les descripteurs de sortie, et ce que vous configurez dans l’interface est un multisig k parmi n ordinaire : un seuil et un jeu de clés. Il n’existe pas d’éditeur de politique permettant d’écrire des conditions de dépense miniscript arbitraires, comme des branches de récupération verrouillées dans le temps ou des quorums dégressifs. Si votre plan dépend de ce genre de politique, Sparrow n’est pas l’outil pour la rédiger.

Comment un cosignataire situé dans une autre ville signe-t-il la transaction ?

Par fichier. Sparrow enregistre la PSBT non signée, vous transmettez ce fichier par le canal de votre choix, votre cosignataire l’ouvre dans sa propre copie de Sparrow avec le même portefeuille chargé — en lecture seule ou partiellement signé —, signe avec son appareil et vous renvoie le fichier. Une PSBT ne contient aucune clé privée : une PSBT interceptée vous coûte de la confidentialité, pas de l’argent. Faites néanmoins vérifier les détails de la transaction de façon indépendante avant que quiconque ne signe.

Puis-je mélanger dans un même quorum des portefeuilles matériels de fabricants différents ?

Oui, et c’est même conseillé. Mélanger les fabricants fait qu’une faille de micrologiciel, un problème de chaîne d’approvisionnement ou la disparition d’une société n’affecte qu’une clé au lieu de toutes. Sparrow se moque de la marque d’origine de chaque trousseau, du moment que tous les cosignataires s’accordent sur le type de script et la dérivation.

Quel portefeuille matériel est le plus simple à utiliser en multisig avec Sparrow ?

Coldcard, Blockstream Jade, BitBox02, Foundation Passport, Keystone et SeedSigner gèrent tous le multisig sans douleur. Ledger fonctionne, mais impose une étape d’enregistrement de politique sur laquelle beaucoup butent, et les cartes à puce NFC comme Tapsigner ne sont pas conçues pour servir de cosignataires multisig. Les détails figurent sur la page des portefeuilles matériels.

Les frictions propres à chaque appareil

Coldcard : le circuit multisig par carte SD

La Coldcard est l’appareil autour duquel la plupart des documentations multisig sont écrites, et la raison en est simple : elle traite la carte SD comme l’interface principale et non comme une solution de repli. Le circuit se découpe en deux moitiés qui méritent d’être nommées séparément.

D’abord, l’export : la Coldcard écrit sur la carte microSD, sous forme de fichier, sa clé publique étendue et les détails de dérivation, que vous importez dans Sparrow comme l’un des trois trousseaux. Aucun câble, aucun pilote, aucun appariement.

Ensuite, l’enregistrement : le portefeuille une fois créé dans Sparrow, vous réexportez sa configuration multisig sur la carte et l’importez sur la Coldcard elle-même. L’appareil mémorise alors le quorum ; il peut dès lors afficher les adresses de réception multisig pour vérification et signera les PSBT de ce portefeuille. Sautez cette étape et la Coldcard ignore jusqu’à l’existence du portefeuille.

Ensuite, dépenser consiste à faire la navette avec la carte : Sparrow y écrit la PSBT non signée, la Coldcard la signe, vous rapportez le fichier. L’appareil ne touche jamais votre ordinateur.

Ledger : là où le multisig devient pénible

Les appareils Ledger signent les transactions multisig, mais uniquement pour une politique de portefeuille dont on leur a parlé. L’enregistrement est une étape distincte et explicite, effectuée par USB et confirmée sur l’appareil, et c’est là que la plupart des configurations multisig Ledger s’enlisent.

Deux choses rendent l’affaire plus rude qu’elle n’y paraît. L’appareil vous demande de relire la politique — type de script, dérivation, clés des cosignataires — sur un écran suffisamment petit pour que la vérifier vraiment soit fastidieux, et les gens valident au lieu de lire. Et si l’enregistrement est perdu, ou si la politique est plus tard reconstituée avec une différence infime, l’appareil refuse de signer en affichant une erreur qui ne veut pas dire de façon évidente « votre politique ne correspond pas ».

C’est parfaitement utilisable, et bien des gens font tourner un Ledger comme l’une des trois branches d’un 2 sur 3. Mais si vous choisissez du matériel maintenant et que le multisig est l’objectif, une Coldcard, une Jade, une Passport, une Keystone ou une BitBox02 vous coûteront moins de soirées. Comparatif sur la page des portefeuilles matériels.

Miniscript, sans détour

La question revient souvent dans les recherches : voici donc une réponse franche. Le multisig de Sparrow repose sur les descripteurs de sortie, ce format texte standard qui consigne le type de script d’un portefeuille, ses clés et ses chemins de dérivation, et que vous sauvegardez puis réimportez pour reconstituer un portefeuille dans n’importe quel logiciel compatible.

Descripteurs et miniscript sont des notions voisines, d’où la confusion. Mais le multisig que l’on configure concrètement dans Sparrow est un k parmi n ordinaire : un seuil, un jeu de clés, un type de script. L’interface ne comporte aucun éditeur de politique permettant de rédiger des conditions de dépense miniscript arbitraires — pas de branche de récupération verrouillée dans le temps que vous composeriez à la main, pas de quorum dégressif qui s’assouplirait au bout d’un an, pas de combinaisons « ou de et » entre différents jeux de clés.

Si votre plan l’exige réellement, il vous faut un outillage conçu pour cela — et il faut vous demander honnêtement si vous comprendrez encore votre propre politique dans cinq ans. Pour l’immense majorité des gens, la réponse est un 2 sur 3 : une règle assez simple pour être expliquée en une phrase à un exécuteur testamentaire. C’est une qualité, pas une limite.

L’exercice annuel

Un portefeuille multisig qui n’a jamais été restauré est une hypothèse, pas une sauvegarde. Une fois par an, réservez une heure et prouvez-le, en n’utilisant rien que vous n’auriez plus après un incendie.

  • Partez uniquement des sauvegardes. N’ouvrez pas le fichier de portefeuille existant, n’utilisez pas les appareils déjà configurés comme raccourci, et ne consultez rien sur l’ordinateur.
  • Reconstruisez le portefeuille à partir du descripteur imprimé et de deux des trois phrases de récupération, sur une installation neuve de Sparrow si possible.
  • Faites-le sur un portefeuille au solde dérisoire, ou restaurez d’abord en lecture seule depuis le descripteur et vérifiez que les adresses et l’historique correspondent à ce que vous attendez.
  • Menez une dépense complète à son terme avec deux clés. Une récupération qui s’arrête à « le solde est apparu » n’a pas testé la signature, c’est-à-dire la moitié qui échoue.
  • Notez ce qui vous a embrouillé et corrigez la documentation, pas votre mémoire. Vérifiez ensuite que la troisième clé existe encore et fonctionne toujours : une clé inutilisée qui défaille en silence est exactement la situation contre laquelle un exercice existe.

Inscrivez-le au calendrier à une date que vous ne déplacerez pas. Ceux qui perdent des portefeuilles multisig ne sont presque jamais ceux qui faisaient cela.

Gros plan d’un portefeuille matériel servant de signataire unique au sein d’un quorum multisig

Étiquetez tout, immédiatement

Sparrow vous laisse étiqueter chaque transaction, chaque entrée et chaque sortie. Dans un portefeuille multisig, cela cesse d’être cosmétique : lorsque vous, ou un héritier, ouvrirez ce portefeuille dans trois ans, les étiquettes seront la seule trace de la provenance de chaque dépôt et de l’appareil qui a signé quoi. Rédigez-les au fil de l’eau, car vous ne les reconstituerez pas plus tard.

À lire aussi sur ce site