Comment sauvegarder vos clés Nostr sans les perdre

La demande de support Nostr la plus douloureuse est « J'ai perdu mon nsec, comment puis-je récupérer mon compte ». La réponse est toujours la même : vous ne pouvez pas. Aucune entreprise ne conserve de copie. Aucun trick cryptographique ne le récupère. Le compte est parti.

Ce guide explique comment s'assurer que cette conversation ne vous arrive jamais. Trois stratégies de sauvegarde, classées par sécurité et praticité, plus les erreurs spécifiques qui produisent silencieusement une perte irrécupérable.

TL;DR. Enregistrez votre nsec dans un gestionnaire de mots de passe avec chiffrement de bout en bout (1Password, Bitwarden, KeePassXC, ou iCloud Keychain) dès que votre client le génère. Pour les identités de haute valeur, ajoutez une sauvegarde papier dans un coffre-fort. Ne sauvegardez jamais le nsec dans Notes iCloud, Google Keep, une capture d'écran, ou tout stockage cloud où le fournisseur peut lire le texte en clair.

Quand vous êtes prêt, prenez votre adresse @nostr.blog →

Ce que vous sauvegardez réellement

Votre identité Nostr est la clé privée, codée sous forme de chaîne nsec1... Bech32. 63 caractères, commence par nsec1. Quiconque possède cette chaîne a le contrôle total du compte.

Vous n'avez pas besoin de sauvegarder :

• Le npub (dérivable du nsec)
• Les métadonnées de votre profil (récupérables des relais tant que vous pouvez signer des événements)
• Votre liste de suivi (idem)
• Vos messages (ils existent sur les relais même si vous perdez la clé)

Vous avez besoin de sauvegarder :

• Le nsec. Juste le nsec.

Tout le reste découle de la possession du nsec. Rien ne découle de la possession du npub seul.

Option 1 : Gestionnaire de mots de passe

La recommandation par défaut pour presque tous les utilisateurs.

Ce qui fonctionne : 1Password, Bitwarden, KeePassXC, Proton Pass, Dashlane, tout gestionnaire de mots de passe qui chiffre votre coffre-fort avec un mot de passe principal et stocke uniquement du texte chiffré sur les serveurs du fournisseur. Le Keychain iCloud d'Apple compte aussi ; il est chiffré de bout en bout avec le code d'accès de votre appareil.

Configuration (exemple 1Password ; le flux est équivalent dans d'autres) :

1. Créez un nouvel élément, catégorie « Note sécurisée » ou « Mot de passe ».
2. Intitulez-le quelque chose d'inambiguë : Nostr nsec (alice@nostr.blog).
3. Collez le nsec complet, y compris le préfixe nsec1, dans le champ mot de passe.
4. Enregistrez.
5. Vérifiez que l'élément est synchronisé sur vos appareils en ouvrant 1Password sur un second appareil et en trouvant la même entrée.

Pourquoi cela fonctionne : Le coffre-fort est chiffré avec votre mot de passe principal avant de quitter votre appareil. Le fournisseur stocke du texte chiffré et n'a jamais le texte en clair. Une violation du fournisseur fuit des blobs chiffrés, pas vos clés réelles.

Pourquoi cela peut quand même échouer : Vous oubliez le mot de passe principal ; vous perdez la récupération du compte (certains gestionnaires ont un kit de récupération PDF que vous imprimez, d'autres non) ; votre appareil est compromis pendant que le coffre-fort est déverrouillé et un attaquant exporte les éléments.

Correction de la faiblesse : Gardez votre mot de passe principal quelque part de physique et séparé. Activez chaque option de récupération et 2FA que le gestionnaire de mots de passe propose. Ne stockez pas le mot de passe principal dans une note synchronisée.

Option 2 : Sauvegarde papier

L'option la plus résiliente contre les pannes numériques. Fonctionne quand tout le reste échoue.

Configuration :

1. Ouvrez un éditeur de texte et tapez le nsec exactement (ou utilisez la fonction « exporter clé » du client si disponible pour générer un code QR).
2. Imprimez sur papier à partir d'une imprimante fiable. Ne faites pas de capture d'écran ; les captures d'écran se retrouvent dans les photos cloud.
3. Écrivez sur le papier : le nom du compte, la date, et (optionnel) où vous l'avez sauvegardé.
4. Stockez dans un endroit en qui vous avez physiquement confiance : un coffre-fort à domicile, une boîte de coffre, un tiroir verrouillé. Pas un carnet sur votre bureau, pas le premier tiroir que quelqu'un ouvrirait.

Pourquoi cela fonctionne : Une copie papier n'est pas en ligne. Personne ne peut l'exfiltrer à distance. Elle survit à la perte de votre téléphone, de votre ordinateur portable, de votre fournisseur cloud, et de votre connexion Internet simultanément.

Pourquoi cela peut échouer : L'eau, le feu, quelqu'un la trouvant. Les solutions standard sont un coffre-fort ignifuge, une plaque de sauvegarde en acier (les mêmes que les utilisateurs de phrase de départ Bitcoin achètent), ou stocker deux copies en deux lieux physiques.

Les plaques de sauvegarde en acier sont une amélioration si l'identité est de haute valeur. Elles survivent au feu, à l'eau, et à une décennie d'humidité. Une plaque basique coûte environ 20 $. Vous frappez le nsec dans des rangées de métal avec un poinçon. Excessif pour la plupart des gens, raisonnable pour une identité Nostr liée à un revenu réel.

Option 3 : Signataire matériel

L'option techniquement la plus forte. La plus complexe à configurer.

Ce que c'est : Un appareil qui détient le nsec et signe les événements à distance, sans que le nsec ne touche jamais l'appareil client. Votre téléphone ou ordinateur portable parle au signataire sur un canal sécurisé (Bluetooth, USB, ou un abonnement à relais chiffré), lui envoie un événement à signer, et récupère l'événement signé.

Options en 2026 :

• Amber (Android) est une application de signature Nostr dédiée qui s'exécute sur un téléphone séparé et reçoit les demandes de signature sur un canal local.
• Applications bunker « signataire distant » s'exécutent quelque part en qui vous avez confiance (votre propre serveur, un appareil de confiance) et reçoivent les demandes de signature via Nostr lui-même en utilisant NIP-46.
• Les portefeuilles matériels avec support Nostr (certains firmware Coldcard, certains firmware Jade, et des projets dédiés comme Seedsigner) peuvent signer les événements Nostr comme travail secondaire.

Pourquoi cela fonctionne : Le nsec ne quitte jamais le signataire. Même si votre téléphone ou ordinateur portable est entièrement compromis, l'attaquant ne peut pas voler la clé car il ne peut pas y accéder. Au maximum, ils peuvent tromper le signataire pour qu'il signe des événements malveillants, mais seulement tant qu'ils ont une connectivité active.

Pourquoi c'est difficile : La configuration est plus impliquée qu'un gestionnaire de mots de passe. Vous avez besoin d'un second appareil ou d'un déploiement bunker. La plupart des clients mobiles ne supportent pas encore les signataires distants comme citoyens de première classe. Moins d'utilisateurs empruntent ce chemin, mais ceux qui le font sont ceux avec les besoins de sécurité les plus élevés.

Où ne pas enregistrer le nsec

Chaque option de cette liste a produit une demande de support qui s'est terminée par « votre compte est parti ». Évitez-les tous.

• Notes iCloud. Apple stocke le contenu de la note d'une manière qu'il peut lire. Pas chiffré de bout en bout. Une violation d'iCloud signifie une violation de votre identité Nostr.
• Google Keep. Même problème, avec Google.
• Captures d'écran de l'appareil photo. La capture d'écran se synchronise automatiquement à iCloud Photos ou Google Photos en texte clair. Même si vous la supprimez du téléphone, les fournisseurs cloud conservent souvent les copies récentes.
• Brouillons d'e-mail ou auto-e-mails. Votre fournisseur de messagerie peut lire les brouillons et les e-mails envoyés. S'ils sont violés (et plusieurs grands fournisseurs l'ont été, dans la dernière décennie), le nsec est dans la fuite.
• Telegram « Messages enregistrés » ou tout auto-DM de chat. Les chats par défaut de Telegram ne sont pas chiffrés de bout en bout. Signal est mieux mais pas conçu comme sauvegarde de mot de passe.
• Un fichier en texte clair sur Dropbox, Google Drive, iCloud Drive, OneDrive. Le fournisseur peut lire le fichier. Une violation du fournisseur fuit votre nsec.
• Le gestionnaire de mots de passe intégré de votre navigateur s'il n'est pas chiffré E2E. Vérifiez si le vôtre l'est. Safari iCloud Keychain l'est ; certains mots de passe de profil Chrome ne le sont pas à moins que vous activiez le paramètre de chiffrement sur appareil.

La règle d'unification : si le fournisseur peut, en principe, lire le texte en clair, ne stockez pas votre nsec là. Si le fournisseur ne peut que lire du texte chiffré, l'emplacement est acceptable.

Une disposition de sauvegarde réaliste à deux sauvegardes pour la plupart des utilisateurs

Ce que nous recommandons si vous voulez une bonne sécurité mais pas paranoïaque :

1. Gestionnaire de mots de passe avec le nsec comme Note sécurisée ou élément Mot de passe. Chemin de récupération d'utilisation quotidienne.
2. Sauvegarde papier imprimée et stockée dans un emplacement physique spécifique. Récupération en cas de catastrophe.

Temps de configuration total : dix minutes. Coût récurrent total : zéro. Protection totale contre la perte de clé routine : très élevée.

Pour les identités enjeux plus élevés, ajoutez :

• Une deuxième copie physique dans un lieu différent (un coffre-fort d'un membre de la famille de confiance, une boîte de coffre)
• Une sauvegarde de plaque en acier au lieu de papier
• Un signataire matériel ou distant comme chemin d'utilisation quotidienne, avec la sauvegarde nsec réservée comme récupération d'urgence

Les erreurs qui perdent les comptes, classées par fréquence

Parmi les fils de support réels dans l'écosystème Nostr :

1. « Je vais le sauvegarder plus tard. » La cause unique la plus courante de perte permanente. Le « plus tard » n'arrive pas avant que le téléphone soit essuyé, perdu ou mis à niveau.
2. Faire confiance à un seul endroit. Téléphone à la piscine, réinitialisation du trousseau après un incident de sécurité, compte du gestionnaire de mots de passe verrouillé. Deux copies en deux types de stockage différents résout cela.
3. Ne pas étiqueter la sauvegarde. Un gestionnaire de mots de passe avec 200 entrées où l'une d'elles est une chaîne sans étiquette « nsec1... » est à une recherche échouée de la perte.
4. Utiliser le npub où le nsec était nécessaire. L'utilisateur pense avoir sauvegardé mais a uniquement enregistré la moitié publique. Vérifiez que votre sauvegarde commence par nsec1, pas npub1.
5. Captures d'écran. Une capture d'écran de l'écran « détails du compte », synchronisée automatiquement sur un fournisseur cloud, et le nsec est assis dans le centre de données de quelqu'un d'autre en texte clair.

Chacun de ceux-ci est un problème de 30 secondes à prévenir et un problème permanent à récupérer. L'asymétrie est toute la raison pour laquelle cet article existe.