Voici une question à la réponse inconfortable. Quand une association vous montre une adresse de don, qu'est-ce qui prouve exactement que cette adresse lui appartient ?
En général : rien. Vous faites confiance au fait que la page web que vous avez sous les yeux est bien celle que l'association a publiée. C'est une confiance raisonnable la plupart du temps, et c'est une garantie plus faible que ce que la technologie permet.
Nous sommes partis à la recherche d'organisations qui font mieux, dans le cadre d'une vérification de première main des pages de dons en crypto, le 22 octobre 2026. Nous en avons trouvé une qui fait quelque chose de véritablement rigoureux, et cela mérite d'être décrit, parce que cela fixe la norme dont nous restons tous en deçà.
La menace, c'est la page, pas la chaîne
Les discussions sur la blockchain tendent à se concentrer sur la sécurité d'une transaction. Pour un donateur, la transaction est justement la partie qui fonctionne. Le point faible est en amont : la manière dont l'adresse est arrivée sur votre écran.
Les façons dont l'adresse qu'on vous montre pourrait être la mauvaise, sans que personne ne casse la moindre cryptographie :
- Le site de l'association est compromis et l'adresse remplacée.
- Un module de gestion de contenu, un script d'analyse ou une balise publicitaire présents sur la page sont compromis.
- Vous êtes arrivé par un nom de domaine quasi identique.
- L'hébergement ou le DNS de l'association a été détourné.
- Une extension de votre navigateur réécrit les adresses dans la page.
Dans chacun de ces cas, la cryptographie fonctionne parfaitement. Elle envoie fidèlement et irréversiblement votre don à l'attaquant. L'irréversibilité est un atout partout, sauf ici.
À quoi ressemble la rigueur
Le projet Qubes OS publie ses adresses de don deux fois : sur sa page de dons, et dans une version signée cryptographiquement appelée le Qubes Security Pack, avec des instructions documentées pour vérifier les signatures.
Cela change entièrement la question. Vous ne demandez plus « cette page web est-elle honnête ? » mais « cette adresse a-t-elle été signée par les clés qui signent les versions de Qubes ? » — une question à laquelle vous pouvez répondre hors ligne, sans faire confiance au site web, à l'hébergement ni au réseau.
Deux autres détails de sa propre page qui nous paraissent de bonnes pratiques :
- Son fonds Bitcoin est détenu dans un portefeuille multisignature, de sorte que, selon la description du projet lui-même, aucune personne seule n'est en mesure de dépenser les fonds.
- Son adresse Ethereum est un portefeuille à contrat intelligent sur le réseau principal uniquement, et la page avertit, dans un encadré rouge, que les actifs envoyés sur d'autres réseaux peuvent être perdus.
Le second point est un avertissement de sécurité plutôt qu'une preuve, mais il vient du même réflexe : dire au donateur ce qui pourrait détruire son don, à l'avance et de façon impossible à manquer.
La GrapheneOS Foundation en fait une version plus légère en publiant un handle Cardano lisible par un humain, dont elle est propriétaire, à côté de son adresse brute — plus facile à vérifier à l'œil qu'une centaine de caractères commençant par addr1, même si cela repose encore sur l'honnêteté de la page.
Le Tor Project reçoit les Bitcoin via un BTCPay Server hébergé sur son propre domaine plutôt que par un prestataire tiers, ce qui signifie que les adresses sont générées par une infrastructure que Tor contrôle. C'est une garantie de garde plutôt qu'une preuve d'authenticité : cela vous dit où l'argent aboutit, pas que la page n'a pas été altérée.
Quatre choses que vous pouvez vérifier en moins d'une minute
Vous n'obtiendrez pas de preuve cryptographique de la plupart des associations. Vous pouvez tout de même améliorer nettement vos chances.
- Examinez le domaine avec soin, caractère par caractère, en particulier les lettres permutées et les mots ajoutés. Puis regardez le cadenas du certificat.
- Obtenez l'adresse depuis deux sources indépendantes — la page de dons et, par exemple, le dépôt officiel de l'organisation, une annonce sur sa liste de diffusion ou un compte social vérifié. Un attaquant en contrôle généralement une, rarement les deux.
- Préférez une page qui génère une adresse nouvelle à chaque don à une adresse fixe restée des années dans un modèle de page. Une adresse fixe oubliée est ce qu'il y a de plus facile à remplacer discrètement.
- Envoyez d'abord un petit test quand le montant compte, et confirmez la réception avant d'envoyer le reste.
Et une qui ne coûte rien : demandez-leur. « Pouvez-vous me confirmer cette adresse par un autre canal ? » Une association qui gère la crypto avec compétence ne trouvera pas la demande étrange. Nous avons écrit plus longuement sur la vérification dans comment savoir si une association crypto est réelle.
Où cela nous laisse, honnêtement
Nous devons nous appliquer la question à nous-mêmes, parce qu'il serait absurde de ne pas le faire.
TraceGood ne publie pas d'adresses de don signées cryptographiquement. Les dons nous parviennent via un prestataire de paiement qui génère les coordonnées de chaque don au moment du paiement. Cela présente un vrai avantage de sécurité et un vrai coût.
L'avantage : il n'y a aucune adresse fixe de longue durée sur notre site à remplacer. Un attaquant ne peut pas modifier discrètement un modèle de page et collecter des dons pendant des mois.
Le coût : vous ne pouvez pas vérifier l'adresse à l'avance, parce qu'elle n'existe pas avant que vous ne commenciez un don — et vous faites confiance à la fois à notre page et à la page de paiement du prestataire. Nous demandons la même confiance que presque tout le monde, et nous préférons le nommer plutôt que de laisser croire que nous avons résolu quelque chose qui ne l'est pas.
Ce que nous offrons, c'est une vérification après coup : chaque don confirmé apparaît dans notre registre public avec un lien vers la transaction sur un explorateur de blocs indépendant, pour que vous puissiez vérifier que ce que vous avez envoyé est bien ce qui est arrivé.
C'est plus faible que l'approche de Qubes. Il vaut la peine de dire dans quel sens va l'écart.
Ce que les associations devraient en retenir
Si vous détenez vos propres clés, signer vos adresses n'est pas difficile et presque personne ne le fait. Vous feriez partie d'un groupe très restreint, et c'est le genre de chose que les donateurs techniques remarquent.
Au minimum :
- Publiez l'adresse à un second endroit indépendant et dites aux donateurs de comparer.
- Indiquez le réseau, en gras, à côté de l'adresse.
- Utilisez une garde multisignature pour tout montant significatif, et dites que vous le faites.
- Auditez les scripts tiers de votre page de dons. Chacun d'eux peut réécrire l'adresse.
- Ne laissez pas d'adresses fixes dans des modèles de page que personne n'a relus depuis le jour où ils ont été écrits.
Où nous en sommes
Nous sommes une organisation récemment fondée dont l'enregistrement comme association à but non lucratif en Estonie n'est pas encore achevé, et les dons ne sont déductibles d'impôt dans aucun pays. Notre page À propos expose la position complète.
Si vous repérez quoi que ce soit d'anormal sur nos pages de dons, dites-le-nous immédiatement.
Comment vérifier un don sur la blockchain · Voir toutes les monnaies acceptées