Évaluation de sécurité · revue le 2026-08-10

Sparrow Wallet est-il sûr ? Une évaluation de sécurité sans complaisance

En bref : le logiciel est non dépositaire, open source sous licence Apache 2.0, et gratuit. Rien de tout cela ne met vos bitcoins en sécurité à lui seul. « Sûr » se décide par la configuration que vous choisissez et par l’état de vos sauvegardes, et Sparrow vous laissera bâtir quelque chose d’excellent ou quelque chose d’imprudent avec la même bonne volonté.

Comparez le cours actuel du bitcoin

Non dépositaire
Code sous Apache 2.0
Gratuit, financé par les dons
Fichiers de portefeuille chiffrés par Argon2
Aucun audit tiers publié

Non officiel

La réponse directe, avant le détail

Sparrow ne détient aucun bitcoin. C’est un programme de bureau qui surveille des adresses dérivées de clés que vous contrôlez et qui construit les transactions les dépensant. Il n’y a pas de compte, pas de solde posé sur le serveur de quelqu’un d’autre, et pas de réinitialisation de mot de passe, puisqu’il n’y a rien à réinitialiser sur un serveur. Cette structure supprime toute une catégorie de risque : l’entreprise ne peut pas vous geler, ne peut pas perdre vos fonds dans une faillite, et ne peut pas se faire pirater avec vos bitcoins à l’intérieur.

En échange, elle vous remet tous les risques qu’un dépositaire absorberait normalement. Si votre ordinateur est infecté, si vous installez une copie altérée, ou si vos mots de récupération finissent dans une bibliothèque de photos, rien dans la conception de Sparrow ne vous sauve. Le portefeuille est honnête là-dessus, et cette page aussi : la question n’est jamais « l’application est-elle sûre », c’est « mon installation est-elle sûre », et ces deux questions n’ont pas la même réponse.

Lisez donc la suite de cette page attaquant par attaquant. La sécurité n’est pas une note sur dix ; c’est une liste de personnes précises qui tentent des choses précises, et la liste de celles que votre configuration arrête réellement.

Modèle de menace

Six attaquants, et ce que Sparrow fait face à chacun

Les listes de fonctionnalités sont une mauvaise façon de juger la sécurité. Les attaquants en sont une bonne. Chaque carte ci-dessous décrit quelqu’un disposant d’un chemin plausible vers vos bitcoins, ce que Sparrow bloque réellement, et ce qu’il ne peut pas empêcher.

1. Un logiciel malveillant déjà sur votre ordinateur

Les voleurs d’informations ratissent les fichiers de portefeuille, enregistrent les frappes au clavier et remplacent les adresses Bitcoin dans votre presse-papiers au moment où vous les collez.

Sparrow aide: Les fichiers de portefeuille sont chiffrés au repos, et l’éditeur de transaction affiche les adresses de sortie et les montants exacts avant que vous signiez : une adresse substituée est donc visible, à condition de la lire.
Sparrow ne peut pas: Protéger une clé déchiffrée en mémoire sur une machine que l’attaquant contrôle. Un signataire matériel règle correctement le problème : l’appareil affiche l’adresse sur son propre écran.

2. Un téléchargement altéré ou contrefait

Les annonces de recherche et les domaines sosies servent des installeurs modifiés. C’est la manière la plus courante de voir disparaître un premier magot, et cela ne coûte presque rien à mettre en place.

Sparrow aide: Les versions sont livrées avec un manifeste signé d’empreintes de fichiers. Vérifiez la signature face à l’empreinte D4D0D3202FC06849A257B38DE94618334C674B40 et un binaire substitué échoue au contrôle.
Sparrow ne peut pas: Vous empêcher de sauter la vérification. Rien dans l’installeur ne vous avertit que vous l’avez pris sur le mauvais domaine. Vérifier correctement un téléchargement.

3. L’opérateur du serveur Electrum

Les portefeuilles légers demandent à un serveur quelles transactions touchent leurs adresses. Celui qui exploite ce serveur apprend l’ensemble de vos adresses et votre adresse IP.

Sparrow aide: Le Tor intégré masque votre IP, et vous pouvez le pointer vers votre propre nœud Bitcoin Core ou vers un serveur Electrum privé plutôt que public.
Sparrow ne peut pas: Faire oublier à un serveur public ce que vous lui avez déjà dit. C’est un échec de confidentialité, pas de sécurité — l’opérateur ne peut pas dépenser. Comment fuient vos adresses.

4. Le vol physique du fichier ou du portable

Une machine volée livre le fichier de portefeuille, les étiquettes que vous avez écrites et l’intégralité de votre historique de transactions.

Sparrow aide: Le chiffrement Argon2 rend chaque essai de mot de passe coûteux, et une passphrase BIP39 fait que les mots de la phrase de récupération ne suffisent plus à reconstituer le portefeuille.
Sparrow ne peut pas: Sauver un mot de passe faible. Un attaquant hors ligne dispose d’un nombre illimité de tentatives, sans autre limitation que les mathématiques.

5. La contrainte, ou quelqu’un qui sait que vous avez des bitcoins

Le cas inconfortable. Le chiffrement ne sert à rien quand l’attaquant peut simplement exiger le mot de passe, et c’est en se vantant en public qu’on devient une cible.

Sparrow aide: Le multisig répartit le pouvoir de dépense entre plusieurs lieux : aucune conversation isolée ne déplace donc les fonds. Des portefeuilles séparés vous permettent de tenir un petit solde crédible à l’écart de l’épargne.
Sparrow ne peut pas: Faire quoi que ce soit au fait que vous en avez parlé. Il n’existe ni effacement sous contrainte, ni mode panique caché. Le multisig pas à pas.

6. Vous, et la phrase de récupération

L’attaquant qui gagne le plus souvent. Une phrase photographiée « temporairement », enregistrée dans une note dans le cloud, tapée sur un site web, ou écrite une seule fois et rangée là où une inondation l’a trouvée.

Sparrow aide: Il affiche les mots une fois, sur votre machine, et ne les transmet jamais. Vous pouvez tester la restauration tant que le solde est encore nul.
Sparrow ne peut pas: Les retrouver. Il n’y a ni réinitialisation, ni vérification d’identité, ni recours dépositaire. Phrase de récupération et passphrase.

Source: sparrowwallet.com — bonnes pratiques

Sparrow est-il un portefeuille chaud ou froid ?

C’est la question la plus recherchée à propos de Sparrow, et la plus mal traitée. Sparrow n’est intrinsèquement ni l’un ni l’autre. C’est un programme de signature et de construction de transactions, et la réponse dépend entièrement de l’endroit où se trouve la clé privée pendant que le programme tourne.

Évaluation réalisée par ce site, à partir des options de trousseau et de signature documentées par le projet Sparrow.
Votre configuration	Où vit la clé privée	Ce qu’un attaquant présent sur cet ordinateur atteint	Étiquette honnête
Trousseau logiciel sur votre portable de tous les jours	Fichier de portefeuille chiffré, sur ce même disque	Le fichier de portefeuille, plus tout ce que vous tapez pendant qu’il est déverrouillé	Portefeuille chaud
Trousseau logiciel sur une machine que vous utilisez rarement	Fichier de portefeuille chiffré, déverrouillé beaucoup moins souvent	Le fichier au repos — inutile sans le mot de passe	Chaud, avec des frictions
Signataire matériel connecté en USB	À l’intérieur de l’appareil de signature, jamais exporté	Vos adresses et une transaction non signée. Signer exige d’appuyer sur un bouton de l’appareil	Clés froides, bureau en ligne
Signataire air-gapped par QR codes ou carte SD	Sur un appareil qui n’a jamais touché un réseau	Rien de signable. Les données ne franchissent la coupure que si vous les transportez	Froid
Portefeuille en lecture seule créé depuis une xpub	Absolument pas sur cet ordinateur	Votre solde, votre historique et vos futures adresses — aucun pouvoir de dépense	Aucune clé présente

Ce que « lecture seule » veut dire ici, concrètement

Un portefeuille en lecture seule se construit depuis une clé publique étendue — une xpub — ou depuis un descripteur de sortie, cette petite recette textuelle qui décrit comment les adresses sont dérivées. L’une comme l’autre permet à Sparrow de générer toutes les adresses sur lesquelles vous recevrez un jour, de contrôler les soldes et d’assembler une dépense, sans contenir le secret nécessaire pour l’autoriser.

C’est pour cela qu’un dispositif air-gapped fonctionne. L’ordinateur en ligne héberge un portefeuille en lecture seule et produit un PSBT : une transaction Bitcoin partiellement signée, un format de fichier standard qui porte tout ce que le signataire doit savoir et rien de ce qu’il doit garder secret. Vous transportez le PSBT vers l’appareil hors ligne par QR code ou par carte SD, l’appareil le signe, et la version signée revient. La clé ne franchit jamais la coupure.

Une xpub n’est pourtant pas anodine. Quiconque la détient voit l’intégralité de votre historique de transactions et toutes vos futures adresses, définitivement. Traitez-la comme une donnée sensible, même si elle ne peut pas dépenser un seul satoshi.

Une valeur par défaut qui fonctionne

Gardez un petit portefeuille chaud pour les dépenses et un portefeuille distinct adossé à du matériel pour l’épargne. Les deux vivent dans une seule installation de Sparrow, sous forme d’onglets séparés. Dès que le solde d’épargne dépasse ce que vous transporteriez en espèces, ces clés ont leur place sur un appareil dédié.

Quels appareils de signature Sparrow prend en charge détaille les modes USB, QR et carte SD pour chaque marque.

Ce que le chiffrement vous achète réellement

Sparrow chiffre les fichiers de portefeuille avec Argon2, l’algorithme qui a remporté la Password Hashing Competition en 2015, et le projet le calibre délibérément pour que la dérivation de la clé à partir de votre mot de passe prenne au moins 500 millisecondes sur du matériel récent. Argon2 est aussi gourmand en mémoire, propriété qui empêche un attaquant d’obtenir une accélération énorme en déplaçant simplement le calcul sur des cartes graphiques.

En pratique : chaque essai de l’attaquant coûte une demi-seconde de travail réel. Face à un mot de passe doté d’une véritable entropie — cinq ou six mots tirés au hasard, ou une longue chaîne issue d’un gestionnaire de mots de passe — le nombre d’essais nécessaires est assez grand pour qu’une demi-seconde chacun place le total hors de portée de tout budget. C’est pourquoi un fichier de portefeuille chiffré sur un portable volé n’est généralement pas la fin de l’histoire.

Ce qu’il ne vous achète pas

Argon2 ralentit le devinage ; il ne transforme pas un mauvais mot de passe en bon. Les attaquants n’essaient pas toutes les combinaisons, ils essaient des listes : les dix millions de mots de passe les plus courants, les fuites de mots de passe, et les mots du dictionnaire avec leurs substitutions prévisibles. Quelque chose comme bitcoin2026 ou Satoshi!23 figure déjà sur ces listes. Une demi-seconde par tentative, répartie sur une centaine de processus parallèles, avale une liste de dix millions d’entrées en moins d’une journée. Le coût par essai ne vous aide que s’il y a un nombre astronomique d’essais à faire.

L’autre limite est le périmètre. Le chiffrement de fichier protège le fichier. Il ne fait plus rien dès que le portefeuille est ouvert sur une machine compromise, et il ne fait absolument rien pour votre sauvegarde de graine, qui est en clair par définition. Une plaque métallique dans un tiroir n’est chiffrée ni par Argon2 ni par quoi que ce soit d’autre.

Photographie macro de clés métalliques, illustrant qu’un mot de passe de portefeuille protège le fichier et non la sauvegarde de la phrase de récupération

Choisissez le mot de passe ainsi

Cinq mots au moins, tirés au hasard depuis une liste avec des dés, ou une longue chaîne générée que vous rangez dans un gestionnaire de mots de passe. Pas une formule que vous avez inventée, pas un prénom suivi d’une année, et jamais un mot de passe déjà utilisé ailleurs. Notez les mots de récupération sur papier, séparément : le mot de passe protège le fichier, les mots reconstruisent le portefeuille.

Source: sparrowwallet.com — chiffrement Argon2

Audité, ou seulement auditable ?

Presque toutes les pages consacrées aux portefeuilles traitent « open source » comme un synonyme de « vérifié par des experts ». Ce n’en est pas un, et c’est dans l’écart entre ces deux formules que se loge beaucoup de confiance mal placée.

Ce qui est authentiquement vrai de Sparrow : le code source complet est publié sous licence Apache 2.0, le suivi des problèmes et l’historique des commits sont publics, les versions sont couvertes par un manifeste signé d’empreintes de fichiers, et comme le code est public une compilation peut être reproduite indépendamment plutôt que crue sur parole. Quiconque a la compétence et le temps peut lire exactement comment les clés sont dérivées, stockées et utilisées, et comparer un binaire téléchargé à ce que le code aurait dû produire.

Ce que nous ne pouvons pas vous dire : qu’un cabinet de sécurité tiers nommément identifié a publié un rapport d’audit sur Sparrow. Nous n’en connaissons aucun, et nous n’allons pas inventer un cabinet, une date ou un numéro de CVE pour donner à cette page un air plus autorisé. Il n’existe pas non plus de programme de primes aux bugs que nous pourrions vous indiquer. Si vous trouvez quelque part l’affirmation d’un audit de Sparrow, demandez le rapport lui-même : un véritable audit est un document doté d’un périmètre, d’une date et d’une liste de constats, pas un badge sur une page marketing.

Pourquoi la nuance vous concerne

Auditable signifie que le défaut finira par être trouvé, par quelqu’un, et que l’éditeur ne peut pas le dissimuler. Audité signifie qu’une équipe précise a regardé à une date précise et a consigné ce qu’elle a trouvé. L’open source vous donne la première garantie, la plus durable des deux, mais aussi la plus lente. Les portefeuilles à code fermé accompagnés d’un audit publié ont le profil inverse : un instantané de contrôle, puis plus rien que vous puissiez vérifier vous-même.

Concrètement, votre confiance en Sparrow doit reposer sur ce que vous pouvez vérifier aujourd’hui — que le téléchargement correspond au manifeste signé, que le code est public, que le projet livre régulièrement depuis des années et documente honnêtement ses propres limites — plutôt que sur un certificat qui n’existe pas.

Source: github.com/sparrowwallet/sparrow — code source et suivi des problèmes

Sparrow Wallet a-t-il été piraté ?

Nous n’avons connaissance d’aucune compromission du logiciel Sparrow lui-même : aucun incident où l’application publiée aurait volé des clés, laissé fuiter des graines ou contenu une porte dérobée. Si cela change, ce sera visible dans un dépôt public et un suivi public des problèmes, pas enterré quelque part.

Les pertes attachées au nom de Sparrow viennent de tout autre chose, et la distinction compte parce qu’elle vous dit où placer votre méfiance. Des gens ont été dépouillés par des applications imposteurs et de faux sites de téléchargement — des logiciels qui ont emprunté le nom, le logo et la description, puis réclamé une phrase de récupération. Le portefeuille n’a pas été forcé. On a remis à la victime une contrefaçon convaincante, et elle y a tapé ses mots.

C’est pourquoi « Sparrow est-il sûr » est la mauvaise première question pour la plupart des gens. Le moment dangereux, c’est le téléchargement, et sur mobile il n’existe aucun téléchargement sûr, parce qu’il n’existe aucun build mobile officiel à trouver. Lisez notre état des lieux sur le mobile — c’est la recherche la plus risquée que l’on fasse à propos de ce portefeuille.

Sparrow Wallet est-il une arnaque ?

Non, et la raison pour laquelle la question revient est instructive. Un portefeuille gratuit qui ne demande ni compte ni pièce d’identité paraît suspect à quiconque a l’habitude des applications financières grand public, et les fausses versions présentes dans les magasins d’applications nourrissent activement ce soupçon. Le vrai projet ne prend aucune conservation de fonds, ne vend rien, et publie son propre code source. L’escroquerie, c’est tout ce qui porte son nom et vous demande de taper douze mots dans un formulaire.

Il n’existe aucun numéro d’assistance Sparrow Wallet

Cela mérite son propre titre, parce que le volume de recherche derrière cette question est dangereux. Il n’y a pas de ligne téléphonique Sparrow. Pas de widget de messagerie instantanée. Pas d’adresse e-mail d’assistance capable de consulter votre portefeuille. Pas de messages privés officiels sur une quelconque plateforme sociale. Pas de session d’assistance à distance.

Rien de tout cela n’est un oubli. Un portefeuille non dépositaire n’a rien à assister au sens dépositaire du terme : il n’y a pas de compte à débloquer, pas de solde à ajuster et pas de mot de passe à réinitialiser. Personne au sein du projet ne voit votre portefeuille, donc personne ne peut le restaurer.

Ce qui signifie que chaque agent d’« assistance Sparrow » qui apparaît quand vous exposez un problème est un voleur. Le schéma est constant : la réponse arrive quelques minutes après une plainte publique, l’interlocuteur est serviable et calme, et il finit par avoir besoin de votre phrase de récupération pour « valider le portefeuille », ou d’une session de bureau à distance pour « contrôler la synchronisation », ou d’un petit paiement pour « débloquer » vos fonds. Les trois sont des vols déguisés en aide.

La véritable aide n’existe que sur les canaux du projet lui-même — la documentation, la FAQ et le suivi public des problèmes liés depuis le site officiel — et elle est publique, lente et n’implique jamais vos mots.

Trois phrases qui signifient qu’on est en train de vous voler

« Merci de confirmer vos 12 ou 24 mots de récupération pour que nous rétablissions l’accès. »
« Installez cet outil d’assistance à distance pour qu’un ingénieur voie votre écran. »
« Un petit paiement de validation est requis pour libérer votre solde. »

La règle des deux lignes

Vos 12 ou 24 mots de récupération sont le portefeuille. Écrivez-les sur papier, jamais dans une photo, une note cloud ou un gestionnaire de mots de passe, et ne les saisissez jamais sur un site, dans une messagerie ou auprès d'un faux « support » : aucune personne légitime ne vous les demandera.

Le verdict

Sparrow fait partie des logiciels les plus dignes de confiance de sa catégorie, et ce jugement repose sur la structure plutôt que sur la réputation : il ne prend aucune conservation, publie son code sous Apache 2.0, signe ses versions, chiffre les fichiers de portefeuille avec un algorithme correctement choisi, et se montre inhabituellement direct sur ce qu’il ne fera pas pour vous. Il n’existe aucun audit tiers publié, et nous préférons le dire plutôt que d’habiller cette absence.

Dans une installation Sparrow, le risque n’est presque jamais le code. C’est un téléchargement que vous n’avez pas vérifié, un ordinateur dont vous ne pouvez pas répondre, un mot de passe sorti de votre tête, et une phrase de récupération qui n’existe qu’en un seul endroit — ou pire, dans une photo. Corrigez ces quatre points et vous obtenez une position d’auto-conservation réellement solide. Ignorez-les et aucun portefeuille au monde n’y changera rien.

Si vous voulez l’étape suivante la plus utile et la plus courte : vérifiez votre copie face au manifeste signé, puis configurez correctement la phrase de récupération tant que le solde est encore nul.

Questions de sécurité sur Sparrow Wallet

Sparrow Wallet est-il sûr à utiliser ?

Le logiciel en lui-même est un choix raisonnable : il est non dépositaire, le code source est public sous licence Apache 2.0, les versions sont couvertes par un manifeste signé, et les fichiers de portefeuille sont chiffrés avec Argon2. Que votre installation soit sûre dépend en revanche de trois choses que Sparrow ne maîtrise pas : la propreté de votre ordinateur, la vérification du téléchargement, et le fait que vos mots de récupération n’existent que sur papier. La plupart des pertes remontent à ces trois points, pas au code du portefeuille.

Sparrow Wallet est-il open source ?

Oui. Sparrow est publié sous licence Apache 2.0 et l’intégralité du code source est disponible sur GitHub : n’importe qui peut le lire, le compiler et comparer sa propre compilation à la version publiée. Cela le rend auditable. Ce n’est pas la même chose que dire qu’il a été audité — voyez plus haut la section consacrée aux audits pour comprendre pourquoi la nuance compte.

Sparrow Wallet a-t-il fait l’objet d’un audit de sécurité ?

Nous n’avons connaissance d’aucun rapport d’audit de sécurité tiers publié sur Sparrow que nous pourrions vous indiquer, et nous n’allons pas prétendre le contraire. Ce qui existe à la place : du code ouvert, un manifeste de version signé, un suivi public des problèmes, et des années de relecture par des gens qui l’utilisent avec de l’argent réel. Comprenez « open source » comme auditable, et non comme audité.

Sparrow Wallet est-il un portefeuille chaud ou un portefeuille froid ?

Les deux, selon la configuration que vous choisissez. Un trousseau logiciel sur un ordinateur connecté à Internet donne un portefeuille chaud. Associez Sparrow à un signataire matériel par USB, ou faites-le tourner totalement air-gapped avec des QR codes ou une carte SD, et vos clés privées n’existent jamais sur la machine en ligne — Sparrow devient alors la moitié « lecture seule » qui construit les transactions dans un dispositif de conservation à froid.

Sparrow Wallet est-il non dépositaire, et vraiment gratuit ?

Oui sur les deux points. Sparrow ne détient jamais vos bitcoins et n’a ni compte, ni solde sur un serveur, ni réinitialisation de mot de passe, puisqu’aucune base de données ne contient vos fonds. C’est un logiciel libre financé par des dons volontaires, sans offre payante ni achat intégré. La contrepartie : personne ne peut vous rétablir l’accès.

Sparrow Wallet a-t-il déjà été piraté ?

Nous n’avons connaissance d’aucune compromission du logiciel Sparrow lui-même. Les vols qui portent le nom de Sparrow viennent d’imposteurs : de fausses applications mobiles et des sites de téléchargement sosies qui récoltent les phrases de récupération de gens persuadés d’installer le vrai logiciel. Lisez notre état des lieux sur le mobile avant d’installer quoi que ce soit appelé Sparrow sur un téléphone.

Quel est le numéro d’assistance de Sparrow Wallet ?

Il n’en existe aucun. Pas de ligne téléphonique, pas de messagerie instantanée, pas de service de tickets, pas de messages privés officiels. Quiconque vous donne un numéro d’« assistance Sparrow », ou vous contacte le premier en proposant son aide, monte un vol. L’aide légitime vit dans la documentation du projet et dans le suivi public des problèmes, et elle n’implique jamais vos mots de récupération ni un accès à distance à votre écran.

L’auto-conservation commence après l’achat

Achetez sur une plateforme régulée, retirez rapidement vers des clés que vous contrôlez, et gardez le solde de long terme derrière un signataire matériel plutôt que derrière un identifiant de plateforme.

Voir le cours actuel du bitcoin