Trezor a relevé de 50 à 128 caractères la longueur maximale de la passphrase sur ses portefeuilles matériels actuels, indique l’entreprise dans sa mise à jour d’octobre de Trezor Suite, publiée le dimanche 1er novembre. Le changement est arrivé plus tôt : le journal des modifications du firmware le range dans la version 2.13.0 du « core », datée du 21 octobre. Les propriétaires doivent mettre leur appareil à jour, car un appareil resté sur un ancien firmware garde le plafond de 50 caractères.
Aucune attaque contre Trezor n’est à l’origine de cette évolution. Son billet ouvre la section sur la passphrase avec les vols de Coldcard de cet été, et l’article de Cointelegraph publié lundi présente la nouvelle limite comme venant « après » eux. Trezor ne dit jamais que l’un a entraîné l’autre. Le seul déclencheur qu’blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il cite est une question qu’il « ne cessait de recevoir » : « Est-il possible de créer une passphrase plus longue ? »
Ce que le firmware 2.13.0 a réellement changé
L’entrée du journal tient en une ligne, classée sous « Changed » : « Augmenter la longueur maximale de la passphrase à 128 octets. » Octets et caractères ne sont pas la même chose. Le blog de Trezor et son guide de configuration parlent de caractères, et les deux ne coïncident que pour du texte ASCII simple, c’est-à-dire les lettres latines sans accent, les chiffres et les symboles courants. Les lettres accentuées et les émojis occupent plus d’un octet chacun : une passphrase qui en contient atteint donc le plafond avant le 128e caractère.
La distinction n’est pas nouvelle pour l’entreprise. Une entrée d’avril 2020 pour le firmware 2.3.0 indique : « Limiter correctement la passphrase à 50 octets et non à 50 caractères. » Le guide de Trezor sur la passphrase parle désormais de 128 caractères ASCII, la formulation la plus exacte des trois.
La même version ajoute l’authentification déléguée du protocole Stellar 27, améliore la signature claire sur Ethereum et corrige les demandes de paiement Ripple qui perdaient un tag de destination égal à 0. La mise à jour de Suite annoncée le 1er novembre apporte les comptes sur Arc, le réseau de couche 1 de Circle, davantage de fonctions pour les jetons Soroban et SEP-41 sur Stellar, l’envoi et la signature de messages Cardano sur mobile, ainsi que l’export CSV de l’historique des transactions.
Quels appareils passent à 128 caractères, et la comparaison avec Ledger
Le guide de Trezor place les Safe 7, Safe 5, Safe 3 et Model T à 128 caractères ASCII. Le Model One, plus ancien, reste à 50. La ligne du journal ne nomme aucun modèle : le guide fait donc foi ici. Ledger, le concurrent fabricant de portefeuilles matériels, affirme sur sa page Academy que la seule limite est un maximum de 100 caractères ; nous n’avons pas vérifié ce chiffre modèle par modèle.
| Appareil ou firmware | Longueur maximale de la passphrase | Source |
|---|---|---|
| Trezor Safe 7, Safe 5, Safe 3, Model T | 128 caractères ASCII | Guide Trezor |
| Appareil Trezor avec un firmware antérieur à la mise à jour | 50 caractères | Blog Trezor, 1er novembre |
| Trezor Model One | 50 caractères | Guide Trezor |
| Ledger | 100 caractères | Ledger Academy, mise à jour le 5 août |
Pourquoi une longue passphrase risque de ne pas suivre sur un autre appareil
Le plafond dépend de chaque appareil, pas de la norme. BIP-39, la norme courante de phrase de récupération, injecte la passphrase dans la dérivation des clés et ne fixe aucune longueur maximale. L’ancien plafond de 50 octets était un choix délibéré : un contributeur qui écrit sous le pseudonyme matejcik expliquait sur GitHub en août 2024 qu’il avait été « conçu à l’origine pour la compatibilité avec le T1 », afin qu’un portefeuille créé sur un Model T puisse toujours être restauré sur un Model One.
La nouvelle limite renonce à cette garantie. Une passphrase de 120 caractères dépasse la limite publiée par Trezor pour le Model One et celle de Ledger pour ses appareils : d’après ces chiffres, elle ne pourrait pas y être saisie, et le portefeuille qu’elle protège resterait fermé sur ce matériel. C’est notre lecture des limites publiées. Nous n’avons pas testé la restauration d’un modèle ou d’une marque à l’autre, et le guide de Trezor n’aborde pas ce cas. Les propriétaires d’un Trezor Safe 5 ou d’un Safe 3 qui utilisent toute la longueur lient, en pratique, ce portefeuille aux modèles Trezor équipés d’un firmware récent.
La longueur n’est pas le seul obstacle. Beaucoup de propriétaires de Trezor ne détiennent pas du tout une phrase BIP-39. Trezor explique qu’une sauvegarde à part unique de 20 mots est la configuration par défaut des appareils Safe et du Model T depuis juin 2024 ; elle repose sur SLIP-39, dont le texte indique que les deux normes ne sont pour l’essentiel pas compatibles. La liste des portefeuilles compatibles publiée par Trezor ne nomme qu’un seul portefeuille matériel, Keystone. Quiconque compte passer chez une autre marque doit d’abord vérifier quel type de sauvegarde il détient.
Passphrase Trezor, seed phrase et code PIN : ce que chacun protège
Une passphrase est un mot ou une phrase supplémentaire que vous choisissez vous-même. Elle se combine à vos mots de sauvegarde, la seed phrase, pour obtenir un autre jeu de clés, qui ouvre un portefeuille distinct. Quelqu’un qui met la main sur la sauvegarde seule, à partir d’une photo ou d’une fuite, voit le portefeuille standard et non celui qui se cache derrière la passphrase.
Le code PIN, lui, est autre chose : il protège l’appareil physique, tandis que la passphrase fait partie de la fabrication des clés. L’appareil ne la conserve pas, ce qui rend les erreurs impitoyables. Elle est sensible à la casse, et une simple faute de frappe ne provoque aucun message d’erreur. Elle ouvre un autre portefeuille, vraisemblablement vide. Le guide de Trezor est sans détour : « Une passphrase ne peut être ni modifiée, ni supprimée, ni récupérée. »
Deux conséquences en découlent pour qui en utilise déjà une. Si vous la perdez, les fonds qu’elle protège sont perdus, comme le préviennent Trezor et Ledger. Et elle ne se modifie pas. Le guide de Trezor précise que toute nouvelle passphrase ouvre un portefeuille différent, et BIP-39 dit la même chose à sa manière : chaque passphrase produit une graine valide. Passer à une version plus longue revient donc à créer un nouveau portefeuille avec de nouvelles adresses, puis à y transférer les fonds par des transactions ordinaires. La mise à jour du firmware ne déplace rien. L’ancienne passphrase continue d’ouvrir l’ancien portefeuille, qui reste en l’état tant que vous ne l’avez pas vidé.
L’endroit où on la saisit compte autant que sa longueur. « Saisissez votre passphrase sur votre Trezor chaque fois que vous le pouvez », recommande le guide de Trezor Suite, car tout ce qui est tapé sur un ordinateur ou un téléphone peut être capté, et une passphrase volée, jointe à la sauvegarde, donne un accès complet à un attaquant. Ledger est plus strict et demande de ne jamais la saisir sur un appareil connecté à internet. Les Safe 7, Safe 5 et Model T la reçoivent sur l’écran tactile, le Safe 3 sur ses boutons. Le Model One n’offre aucune saisie sur l’appareil, une raison de plus pour laquelle un long secret ne lui convient pas. Aucun site, aucune application ni aucun agent du support n’a besoin de votre passphrase ou de vos mots de sauvegarde.
La protection a ses limites. Une passphrase n’arrêtera ni une page d’hameçonnage qui la collecte avec la sauvegarde, ni un faux écran qui vous fait signer un vol. Notre guide pour conserver une phrase de récupération en sécurité traite du côté sauvegarde.
Les vols de Coldcard montrent pourquoi ce réglage compte, pas pourquoi il a changé
Trezor prend Coldcard comme illustration. D’après son blog, une faille de firmware dans certains appareils Coldcard a laissé des sauvegardes de portefeuilles avec bien moins d’aléa que prévu ; des attaquants les ont reconstituées hors ligne et ont vidé des milliers d’adresses. Tous les propriétaires touchés n’ont pas perdu leurs fonds lors de la première vague. Ceux qui avaient une passphrase forte et unique « étaient protégés », écrit Trezor, ce qui leur a laissé le temps de migrer. L’entreprise ne dit pas que ses propres appareils sont concernés.
L’avis de Coinkite du 30 juillet est plus étroit : « Si la graine concernée a été utilisée avec une passphrase BIP-39 forte et unique, cette passphrase ajoute une barrière indépendante. » La société précise aussi qu’une passphrase ne répare pas une graine faible, demande aux propriétaires de migrer vers une nouvelle graine dès que c’est raisonnablement possible, et avertit que des passphrases courtes, communes ou réutilisées peuvent être devinées. Une passphrase plus longue sur la même sauvegarde ne remplace donc pas une nouvelle graine. Les estimations de pertes et les suites judiciaires figurent dans notre article sur l’action collective de Toronto contre Coinkite.
Les dates ne tranchent pas la question de la cause. La demande de suppression de la limite de 50 caractères a été ouverte sur GitHub par un utilisateur le 4 août 2024, environ deux ans avant l’alerte de Coinkite, et deux développeurs du projet y étaient favorables dès le lendemain. Elle a été fermée le 2 septembre 2026, à peu près un mois après cette alerte, et le firmware a suivi le 21 octobre. La demande précède donc clairement Coldcard, tandis que le moment choisi pour la correction reste inexpliqué par Trezor.
Plus long ne sert que si la passphrase est aléatoire
La longueur supplémentaire a un seul rôle : rendre la passphrase plus difficile à deviner. Quand une graine est faible, un attaquant peut travailler hors ligne, en essayant des candidats sans appareil pour le bloquer. Plusieurs mots tirés au hasard ajoutent un secret que le voleur doit aussi trouver. Un vers célèbre ou une phrase réutilisée ailleurs en ajoute beaucoup moins, quelle que soit sa longueur.
Il y a aussi un coût à l’usage quotidien. Saisir une longue chaîne sur un petit appareil est lent, et chaque caractère de plus est une occasion de plus d’atterrir dans le mauvais portefeuille. Trezor conseille de noter la passphrase sur papier et de tester régulièrement l’accès. Ce test se fait sur l’appareil, jamais dans un site ou une application qui propose de le faire à votre place. Le billet de Trezor qualifie aussi la fonction d’avancée et prévient que des fonds peuvent être perdus si la passphrase est mal saisie ou oubliée.
Ce que Trezor n’a pas dit
Rien, du côté de l’entreprise, n’explique pourquoi la limite a changé maintenant, ni si l’épisode Coldcard y a joué un rôle. Le billet de blog ne donne aucun numéro de firmware, et la ligne du journal ne précise pas quels modèles reçoivent la version 2.13.0. Le Model One reste à 50 caractères dans le guide de Trezor.
Cette mise à jour arrive quelques jours après un autre avertissement de Trezor, lorsque l’entreprise a demandé aux acheteurs de CryptoBilis de déplacer leurs fonds à la suite d’un implant signalé dans un Safe 5 qu’elle n’avait pas examiné. Ce cas concerne le lieu d’achat d’un appareil, et une passphrase plus longue n’y change rien.