Nous utilisons Google Analytics pour nos statistiques de fréquentation. Les cookies d'analyse ne sont déposés que si vous acceptez. Sans consentement, les statistiques sont estimées à partir de signaux sans cookie. Politique de cookies.
Safe · Self-custody
Les hot wallets perdent leurs fonds en quelques secondes. Avec Safe, chaque retrait exige 24 heures, deux gardiens et une adresse connue — trois barrières indépendantes qu'un attaquant doit toutes franchir.
Une demande de retrait déclenche un compte à rebours de 24 heures, visible par vous et vos gardiens. Un retrait légitime, c'est un jour de patience ; un retrait frauduleux, c'est un jour d'alerte — largement le temps d'annuler une demande que vous n'avez jamais faite.
Destinations approuvées uniquement — une nouvelle adresse attend 48 h avant son premier usage. · Un geste suffit à l'arrêter — l'annulation est immédiate, les approbations ne le sont pas.
Les fonds ne bougent que si 2 gardiens sur 3 approuvent, et uniquement vers des adresses déjà en whitelist. Ajouter une nouvelle adresse est elle-même une opération protégée et soumise à un time-lock — un attaquant ne peut donc pas commencer par s'y inscrire.
Trois chemins de retour — seed, gardiens, clé matérielle, et un exercice pour s'entraîner.
Fonctionnalités
L'écran du coffre affiche 48 210 € en stockage à froid répartis entre Bitcoin, Ethereum et USD Coin — clés hors ligne, air-gapped. Les trois protections figurent sur le même écran : time-lock activé, 2 gardiens sur 3, liste blanche uniquement. Rien de la sécurité ne se cache dans une page de paramètres.
La demande WD-3A18 déplace 0,10 BTC — environ 6 124 € — et l'écran montre chaque couche à l'œuvre : 18:42:07 avant le déverrouillage des clés, une approbation sur les deux requises reçue, destination vérifiée dans la liste blanche. L'annulation reste à un tap, du début à la fin.
Trois gardiens, deux doivent approuver — la règle figure en haut de l'écran, pas dans les petites lignes. Le quorum de la démo mélange volontairement les types de clés : ce téléphone, la clé sur le téléphone d'une seconde personne et une clé matérielle vue pour la dernière fois le 14 juillet. Modifier le quorum est lui-même soumis à un time-lock de 48 heures.
Quatre destinations nommées sur Base, Bitcoin, Ethereum et Solana — trois actives, une encore en décompte. Les retraits ne peuvent aller que vers les adresses de cette liste, et toute nouvelle entrée attend 48 heures avant sa première utilisation, avec une alerte envoyée à chaque gardien dès son ajout.
Le retrait affiché sur cet écran provient du compte d'un gardien sur un nouvel appareil — exactement le type de demande qu'on veut pouvoir faire échouer. Un tap l'annule : les 0,10 BTC restent en stockage à froid, les trois gardiens sont notifiés, et le demandeur ne peut pas la relancer sans nouveau quorum. Sans frais, sans attente, journalisé pour tout le monde.
Trois façons configurées de reprendre la main : une sauvegarde de seed vérifiée sur plaque d'acier, une récupération par les gardiens où 2 sur 3 rétablissent l'accès depuis n'importe quel appareil, et une clé matérielle scellée conservée hors site. Les clés réémises attendent la fin d'un time-lock de 72 heures, et un exercice déroule tout le parcours avec des clés de test — gardiens compris, sans aucun mouvement de fonds.
Chaque retrait lance un compte à rebours de 24 heures avant le déverrouillage des clés. Un retrait légitime coûte une journée de patience ; un téléphone volé offre à un attaquant une journée d'alertes plutôt que vos fonds.
Annuler ne demande ni quorum ni attente — arrêter un mouvement d'argent est toujours plus simple que l'effectuer. N'importe quel gardien peut stopper une demande à tout moment pendant les 24 heures, et l'annulation est consignée pour chacun d'eux.
Ajouter une adresse est en soi une opération soumise à un time-lock : 48 heures avant la première utilisation, chaque gardien étant alerté sur-le-champ. L'attaque évidente — s'ajouter à la whitelist d'abord, retirer ensuite — coûte deux passages complets par le même parcours du combattant.
Les entrées de la whitelist portent des libellés lisibles — portefeuille principal, coffre matériel, trésorerie du studio — à côté de leurs adresses et réseaux. Supprimer une adresse prend effet immédiatement ; seuls les ajouts attendent.
Une clé matérielle peut faire office de gardien : branchez-la pour approuver. Une approbation reste entièrement hors du téléphone, si bien qu'un appareil compromis ne peut pas exprimer deux votes.
Les gardiens confirment leur joignabilité tous les 90 jours, et le coffre indique la dernière vérification de chacun. Un gardien devenu silencieux, vous l'apprenez à date fixe — pas en pleine urgence.
Chaque demande de retrait notifie immédiatement tous les gardiens — pas seulement les deux qui doivent approuver. L'alarme est collective par conception : trois personnes voient une tentative de vol, pas une seule.
Les gens changent de téléphone et s'éloignent, le remplacement est donc un parcours à part entière : un time-lock de 48 heures et deux approbations du quorum en place. Un attaquant ne peut pas remplacer vos gardiens discrètement.
Une demande émise depuis un appareil jamais vu par le coffre est signalée comme telle, directement sur l'écran d'approbation. Les gardiens jugent la demande avec ce contexte sous les yeux.
Les clés vous appartiennent — générées et conservées par vous, jamais par Protocore. Safe ajoute du processus autour de vos clés ; il n'en prend pas la garde.
Un seul coffre contient BTC, ETH et USDC — 0,42 BTC, 12,4 ETH et 1 150 USDC dans la démo. Transférer des fonds vers Safe se fait en une action, et chaque actif hérite des mêmes trois protections.
Un retrait en attente indique sa valeur en fiat avant que quoi que ce soit ne soit débloqué — l'écran de la demande l'affiche en clair. Ce qui quitte le coffre n'est jamais une surprise libellée uniquement en crypto.
La sauvegarde de la seed n'est pas une case à cocher — elle porte une date de vérification, et celle de la démo a été confirmée sur une plaque d'acier. Une sauvegarde éprouvée vaut mieux qu'une sauvegarde supposée.
La récupération ne réémet les clés vers un nouvel appareil qu'après un time-lock de 72 heures — trois fois le délai de retrait. Prendre le contrôle d'un coffre est nettement plus lent que le vider, et le vider demande un jour et deux gardiens.
Déroulez toute la récupération avec des clés de test — les gardiens participent, rien ne bouge. Le dernier exercice de la démo remonte à 118 jours, et l'écran le dit ; une récupération répétée est une récupération que l'on sait exécuter sous stress.
Ajouts, suppressions, annulations, approbations — le coffre garde les 30 derniers jours à l'écran et chaque événement dans l'historique, attribué à son auteur. Les gardiens auditent le coffre en faisant défiler.
Chaque demande, annulation et changement de politique est visible des trois gardiens, pas seulement des parties concernées. Un quorum ne peut protéger que ce qu'il voit.
Safe applique aux particuliers le modèle de garde que Protocore Chain fait tourner pour les trésoreries : signature par quorum, time-locks et destinations connues. Une seule philosophie de sécurité, à l'échelle personnelle.
Safe se déploie seul ou comme coffre dans votre propre produit — votre marque à l'écran, le même time-lock, le même quorum et la même whitelist en dessous. Le cold storage devient une fonctionnalité que vous proposez, pas une entreprise à monter.
FAQ
Perdre une clé ne vous bloque pas : le quorum est de 2 sur 3, deux clés sur trois suffisent donc pour déplacer les fonds. La récupération passe par trois voies : une sauvegarde de la seed, la récupération par 2 gardiens sur 3 et une clé matérielle scellée hors site, chacune avec un exercice pour vérifier qu'elle fonctionne avant d'en avoir besoin.
Non. Chaque retrait est verrouillé 24 heures, exige l'approbation de 2 gardiens sur 3 et ne peut aller que vers une adresse en whitelist — et une demande que vous n'avez jamais faite peut être annulée instantanément pendant le décompte. Un appareil volé ne franchit aucune de ces barrières.
Vous. Safe est en self-custody : les clés sont générées et conservées par vous et vos gardiens, jamais par nous. Nous ne pouvons pas déplacer vos fonds, pas plus que quiconque compromettant un seul appareil.
Volontairement non. Ajouter une adresse à la whitelist est elle-même une modification protégée et soumise à un time-lock — 48 heures dans la démo — afin qu'un attaquant ne puisse pas ajouter sa propre adresse pour y retirer les fonds. La friction, c'est la protection.
Un jour. Le time-lock de 24 heures est l'alarme : un vrai retrait, c'est un jour de patience ; un retrait frauduleux, un jour d'alerte. L'annulation est instantanée alors que l'approbation ne l'est pas — l'asymétrie joue en faveur du propriétaire.
Évaluer
Nous déroulons un retrait de bout en bout — le verrouillage de 24 heures, l'approbation de 2 gardiens sur 3 et la liste blanche — y compris l'annulation d'une demande que vous n'avez jamais faite.
Un coffre de test où votre équipe peut définir des gardiens, ajouter une adresse en liste blanche, puis lancer et annuler un retrait verrouillé.
Enrôlez des appareils de test comme gardiens pour voir en pratique le quorum 2 sur 3 et les changements de liste blanche verrouillés dans le temps.
Évaluez-le comme coffre autonome ou comme coffre whitelabel intégré à votre propre produit — en self-custody de bout en bout.
Disponible en solution autonome ou en coffre whitelabel intégré à votre propre produit.
Safe applique à l'échelle personnelle le modèle de conservation de trésorerie de Chain — quorum, time-locks, destinations connues — et protège ce que Wallets utilise au quotidien.
Tout ce qui précède tourne dans des démos en production que nous pouvons vous présenter — en standalone, en whitelabel ou en plateforme unique. Dites-nous ce que vous construisez et nous vous montrerons le chemin le plus court.
