Sécurité crypto en entreprise : protéger vos clés, vos accès et vos paiements

Pourquoi la crypto demande une sécurité à part

Un virement bancaire frauduleux peut parfois être contesté. Un transfert de crypto-actifs, lui, est en général irréversible : si un attaquant obtient vos accès, ou si vous vous trompez d’adresse, il n’y a pas de service client à appeler. La sécurité repose donc sur vos procédures, pas sur un recours après coup.

Les fondations

• Séparer le professionnel et le personnel. Des comptes, des portefeuilles et des appareils distincts, jamais de clé de l’entreprise dans un compte personnel.
• Authentification multifacteur partout, de préférence avec une clé physique ou une application dédiée plutôt que le SMS.
• Protéger les clés et la phrase de récupération. Hors ligne, en plusieurs exemplaires, dans des lieux distincts, sans photo ni copie dans un cloud.
• Vérifier chaque adresse et faire un paiement test avant un montant important.

Ces règles sont détaillées dans notre fiche les 7 règles de sécurité crypto pour l’entreprise.

Multisig et double validation : ne pas dépendre d’une seule personne

Un portefeuille multisig (multi-signature) exige plusieurs approbations pour valider une opération : par exemple deux signatures sur trois personnes désignées. Pour une PME, c’est l’équivalent numérique d’un chèque à double signature. Ses bénéfices sont concrets :

• un seul appareil compromis ne suffit pas à vider le portefeuille ;
• l’absence ou le départ d’une personne ne bloque pas l’activité ;
• chaque opération laisse une trace de qui a validé quoi.

Le multisig n’est pas adapté à tous les cas : il ajoute de la complexité et doit être testé avant d’y placer des montants significatifs. Dans une très petite structure, une double validation organisationnelle (une personne prépare, une autre valide) avec un prestataire de conservation autorisé peut suffire. Nous vous aidons à choisir selon votre taille, vos montants et vos usages.

Droits d’accès, mises à jour et plan de réaction

• Qui peut faire quoi. Préparer, valider et exécuter sont des rôles distincts. Les droits sont revus à chaque arrivée ou départ.
• Appareils et logiciels à jour, sans extension de navigateur inutile sur les postes qui touchent aux fonds.
• Hameçonnage et faux supports. Personne du support officiel ne vous demandera votre phrase de récupération. Une règle écrite et connue de tous évite les erreurs sous pression.
• Un plan de réaction. Que faire, dans l’heure, si un accès est compromis : qui prévenir, quoi couper, qui contacter.

Par où commencer : cinq questions

1. Qui, dans l’entreprise, peut déplacer des fonds aujourd’hui ?
2. Où sont stockées les clés et les phrases de récupération, et qui y a accès ?
3. Une seule personne peut-elle valider seule une opération importante ?
4. Que se passe-t-il si cette personne est absente, quitte l’entreprise ou voit son accès compromis ?
5. Vos équipes savent-elles reconnaître un faux support ou un faux fournisseur ?

Si vous hésitez sur plus d’une réponse, un diagnostic permet de poser les priorités avant qu’un incident ne vous y oblige.

Ce que fait Si0x

Nous partons de votre situation réelle : ce que vous détenez ou recevez, qui y accède, quels outils vous utilisez. Nous identifions les points faibles, proposons des règles proportionnées et les mettons par écrit, puis nous formons vos équipes pour qu’elles les appliquent. Si0x ne conserve pas vos clés et ne gère pas vos fonds.

Ces règles complètent celles d’un usage conforme : voir notre accompagnement paiement crypto en entreprise et la formation crypto en entreprise pour sensibiliser votre équipe.