Déconnecter un wallet ne révoque pas ses autorisations de jetons

Déconnecter votre wallet d’un site ne révoque pas une autorisation de jetons existante. La connexion est un droit du wallet ; la limite ERC-20 est inscrite dans le contrat du jeton. Pour empêcher une adresse autorisée précise d’utiliser cette limite, il faut la modifier sur la chaîne et vérifier le nouvel état.

Ce guide concerne les autorisations ERC-20 ordinaires sur les réseaux EVM. Il distingue la consultation d’une éventuelle transaction. Ni phrase de récupération ni clé privée ne sont nécessaires pour consulter une adresse publique.

Connexion, autorisation et solde sont distincts

La déconnexion retire le lien avec le site dans votre wallet. Elle n’efface pas les données publiques de la chaîne et ne réécrit pas les contrats. Le guide MetaMask précise cette différence.

Dans ERC-20, balanceOf indique combien de jetons une adresse possède. allowance(owner, spender) indique combien de ces jetons une adresse autorisée peut dépenser. Cette adresse est appelée spender et correspond souvent à celle d’un contrat. Le droit porte sur ce jeton et ce réseau, pas automatiquement sur tous les actifs.

Une adresse autorisée à dépenser peut appeler transferFrom selon les règles du jeton, le solde disponible et la limite. Chaque transfert ne demande pas nécessairement une nouvelle confirmation du wallet. Une ancienne autorisation peut donc compter après votre départ du site.

Ce que change une révocation

Prenons une adresse fictive avec 25 jetons A et une limite de 100 jetons A pour une adresse autorisée. Il s’agit de deux données, pas d’un solde de 125 jetons. Déconnecter conserve l’autorisation.

Un appel ordinaire réussi à approve(spender, 0) fixe cette limite à 0. Le solde reste 25 si aucune autre transaction ne le modifie. Les frais d’une transaction classique payée par vous sont séparés et utilisent l’actif natif. Revoke.cash explique ce changement.

Consulter, puis vérifier le changement voulu

1. Choisissez propriétaire et réseau. Copiez votre adresse publique et sélectionnez le réseau de l’autorisation. La même adresse 0x sur une autre chaîne a un état différent. Ouvrez le vérificateur depuis son adresse officielle, pas un lien dans un jeton ou message inconnu.
2. Consultez sans signer. Le guide Revoke.cash permet d’entrer une adresse publique pour voir les droits. Un explorateur compatible peut aussi les afficher. Le service voit l’adresse demandée et votre IP. Une liste indexée vide ne prouve pas l’absence de tous les droits sur tous les réseaux.
3. Identifiez une autorisation. Notez l’adresse complète du contrat du jeton, l’adresse autorisée à dépenser et la limite actuelle. Un symbole connu ou un nom de contrat ne suffit pas. Comparez le jeton et l’adresse autorisée prévue aux informations officielles du projet. N’interagissez pas avec un jeton inconnu uniquement parce qu’il est listé.
4. Si vous révoquez, lisez la transaction. Pour une autorisation ERC-20 ordinaire, le changement voulu est zéro pour cette adresse autorisée. Connectez le bon wallet signataire seulement pour effectuer la modification. Vérifiez réseau, contrat et adresse autorisée dans la confirmation, ainsi que frais et solde natif. Arrêtez si la demande concerne un transfert, une autorisation avec une limite supérieure à zéro ou une signature inexpliquée. Ne donnez jamais votre phrase de récupération au vérificateur.
5. Vérifiez le succès confirmé et l’état actuel. Ouvrez la transaction dans l’explorateur de ce réseau. Une transaction en attente ou échouée ne confirme pas la révocation. Après le succès, actualisez la limite du même propriétaire pour le même jeton et la même adresse autorisée : elle doit être nulle. Un reçu réussi ne suffit pas si l’état voulu n’a pas changé. Si le service ne montre pas la valeur actuelle, le résultat reste non vérifié.

Vérifiez séparément les autres droits que vous décidez de modifier. Le résultat décrit le droit choisi à l’instant de la consultation.

Une limite nulle n’est pas un audit du wallet

D’autres jetons, réseaux et adresses autorisées ont leurs propres droits. Les autorisations d’opérateur NFT, Permit2 et les sessions de wallet demandent aussi leurs vérifications ; cette procédure ERC-20 ne les couvre pas toutes. Révoquer n’annule pas les transferts passés et ne répare pas des clés de signature compromises.

Certains jetons acceptent des autorisations signées selon ERC-2612. Une signature permit encore valide, mais non soumise, peut fixer une limite plus tard. Un approve(spender, 0) ordinaire ne consomme pas son numéro de séquence, ou nonce. Zéro maintenant ne prouve pas qu’une ancienne signature ne peut plus être soumise. Ne considérez pas toute signature de message comme inoffensive ni les règles de tous les jetons comme identiques.

Ce que peut montrer un suivi de portefeuille

Suivre des adresses publiques avec Owlio montre les actifs pris en charge sans droit de dépense. Supprimer une adresse ou masquer un actif change l’affichage, pas le contrat. Owlio lit les données publiques et ne peut pas révoquer les droits à votre place. La politique de confidentialité explique quels fournisseurs voient l’adresse et votre IP.

Le total indique ce que le suivi a trouvé et évalué. Il ne dit pas quels contrats peuvent dépenser un jeton. Terminez avec un propriétaire, un réseau, un jeton, une adresse autorisée et une limite actuelle vérifiée.