Un utilisateur installe une extension de navigateur pour gérer des actifs numériques et se trouve immédiatement face à une question fondamentale : quelles permissions demande vraiment l’application, quelles données pourrait-elle consulter, et comment vérifier que le navigateur n’expose pas les clés privées ou l’historique des transactions ? La rabby wallet extension sur Firefox, comme toute extension cryptographique, requiert un accès spécifique aux onglets et au stockage local pour fonctionner. Mais l’accès technique ne dit pas tout : il faut comprendre quelles informations l’extension peut réellement voir, ce qu’elle stocke, et comment les permissions du navigateur limitent ou amplifient les risques.

La distinction entre une permission déclarée et un usage réel devient critique lorsqu’on confie à une extension la gestion de portefeuilles comportant des montants significatifs. Rabby, développé par DeBank, affiche un modèle non-dépositaire où les clés privées restent chiffrées localement et ne quittent jamais l’appareil. Pourtant, le code source ouvert et les audits tiers ne suffisent pas à eux seuls à clarifier ce que Firefox voit, ce qu’une mise à jour du navigateur expose, ou comment un utilisateur peut vérifier que l’extension n’a vraiment accès qu’aux données nécessaires. Cet article détaille chaque permission, explique ce qu’elle permet réellement, et fournit un cadre pour valider la sécurité avant de charger des fonds.

Les permissions de base demandées par une rabby wallet extension

Quand un utilisateur installe une extension de portefeuille sur Firefox, le navigateur affiche une liste de permissions demandées. Pour Rabby, les permissions critiques incluent l’accès au stockage local (localStorage et IndexedDB), la capacité à lire et modifier les onglets actuels, et la possibilité de communiquer avec des serveurs externes. Chacune a une raison fonctionnelle : le stockage local conserve les portefeuilles chiffrés et les paramètres ; l’accès aux onglets permet à l’extension d’injecter des scripts dans les pages Web pour reconnaître les demandes de signature ; la communication réseau permet au portefeuille de vérifier les soldes et de diffuser les transactions.

La permission d’accès aux onglets ouverts mérite une attention particulière. Elle ne signifie pas que l’extension peut lire le contenu de chaque page Web visitée de manière directe. Au lieu de cela, elle permet à l’extension de détecter quand un site Web envoie une demande de connexion ou de signature. Un site dApp bien conçu utilise le protocole EIP-1193 ou Window.ethereum pour communiquer avec le portefeuille. Rabby peut alors afficher une fenêtre contextuelle de confirmation sans que l’extension n’ait automatiquement accès à la page Web derrière. Toutefois, si une page Web malveillante ou compromise utilise un mécanisme de communication non standard, l’extension pourrait potentiellement recevoir des données supplémentaires. Ce risque est théorique pour une extension auditée, mais il souligne pourquoi le contexte du site Web demandeur compte autant que les permissions de l’extension.

La permission d’exécuter des scripts de contenu (content scripts) est aussi elle souvent mal comprise. Un content script est du code injété dans la page Web qui permet au portefeuille de détecter les interactions utilisateur et de communiquer avec la page. Cela ne signifie pas que le script peut enregistrer chaque frappe ou capturer des mots de passe. En pratique, le content script de Rabby se limite à écouter les événements relatifs à la signature de transactions et à passer les demandes au service worker de l’extension. Une vérification utile consiste à inspecter le manifeste de l’extension (manifest.json) pour confirmer quels domaines sont énumérés. Si une rabby wallet extension accepte l’injection de scripts sur tous les domaines sans restriction, c’est un signal que quelque chose ne va pas.

Ce que Firefox expose réellement au stockage local

Firefox stocke les données de l’extension dans une base de données isolée par profil utilisateur. Chaque profil dispose de son propre répertoire de données, et les extensions ne peuvent pas directement lire les données d’autres extensions. Cela signifie que l’installation de deux portefeuilles différents (Rabby et MetaMask, par exemple) crée deux espaces de stockage séparés. Chaque portefeuille voit uniquement ses propres paramètres et ses propres données chiffrées.

Cependant, l’isolation n’est pas absolue au niveau du système d’exploitation. Un attaquant avec accès au disque dur ou à la mémoire pourrait potentiellement lire les fichiers de profil Firefox, y compris les données de l’extension. C’est pourquoi le chiffrement des clés privées au repos (at rest) est une étape critique. Rabby stocke les clés privées sous forme chiffrée en utilisant un mot de passe dérivé que seul l’utilisateur fournit. Même si quelqu’un obtient les fichiers de profil Firefox, les clés restent illisibles sans ce mot de passe. La vulnérabilité commune est l’oubli du mot de passe lui-même : si un utilisateur le stock dans un fichier texte dans le même profil ou sur le même disque, le chiffrement perd son efficacité.

Une autre surface d’exposition est Firefox Sync, la fonction de synchronisation du navigateur. Si un utilisateur active Sync, Firefox chiffre et transfère certaines données vers les serveurs de Mozilla. Heureusement, les données des extensions ne sont pas incluses dans la synchronisation standard de Firefox. Les paramètres et le stockage local de Rabby restent confinés au profil local. Néanmoins, si un utilisateur restaure un profil à partir d’une sauvegarde synchronisée sur une autre machine, aucune donnée d’extension n’est restaurée, ce qui oblige à réimporter les portefeuilles. Cela peut sembler gênant, mais c’est en réalité une séparation de sécurité bénéfique : chaque appareil doit conserver ses propres copies chiffrées des clés.

Vérifier les communications réseau de l’extension navigateur

Installer une extension de portefeuille signifie que le navigateur créera des connexions réseau au nom de l’extension. Rabby communique avec des services d’indexation de blockchain (comme Etherscan ou Ankr pour Ethereum), des nœuds RPC pour les différentes chaînes EVM configurées, et ses propres serveurs pour les alertes de sécurité. Firefox ne limite pas nativement les destinations réseau d’une extension : une fois autorisée, l’extension peut se connecter à n’importe quel serveur. C’est ici que la réputation du développeur et l’examen du code source deviennent pertinents.

La rabby wallet extension utilise des presets pour Ethereum, Polygon, Arbitrum et plus de 141 blockchains EVM. Chaque preset inclut un ou plusieurs points de terminaison RPC. Ces presets sont mise à jour par DeBank sans que l’utilisateur n’ait besoin de configurer manuellement une URL RPC. Le bénéfice est l’UX simplifiée ; le coût est une confiance dans les choix de DeBank concernant quels fournisseurs RPC utiliser et comment les points de terminaison sont gérés. Un utilisateur sceptique peut vérifier les points de terminaison utilisés en inspectant les fichiers de configuration de l’extension ou en utilisant un outil comme Wireshark pour observer les connexions DNS et TCP réellement établies.

Pour les alertes de sécurité et la détection de phishing, Rabby envoie certaines informations (comme les adresses visitées ou les hachages de contrat) aux serveurs DeBank. Cet envoi est limité : l’extension n’envoie pas les clés privées, les seed phrases, ni l’historique complet des transactions de l’utilisateur. Cependant, les adresses contrôlées par l’utilisateur pourraient théoriquement être corrélées avec d’autres données si DeBank ou une tierce partie compromettait ces serveurs. Pour un utilisateur très préoccupé par la vie privée, cette exposition peut être acceptable ou non selon sa tolérance au risque. La documentation de Rabby devrait clarifier exactement quelles données sont envoyées ; l’absent de mention explicite est un drapeau rouge qui justifie de poser la question à l’équipe ou de consulter les audits tiers.

Audits de sécurité et vérification du code source ouvert

Rabby est un logiciel open-source, ce qui signifie que n’importe qui peut lire le code source, identifier les failles, et soumettre des corrections. L’équipe a également commandité des audits de sécurité par Least Authority et d’autres cabinets. Un audit ne signifie pas que le code est parfait. Il signifie qu’un groupe d’experts indépendants a examiné le code à une date donnée, identifié les vulnérabilités et les conceptions suspectes, et émis un rapport public. Les corrections et les améliorations suivent généralement après publication.

La vérification pratique du code source nécessite des compétences en programmation, mais un utilisateur peut prendre des mesures plus simples. Premièrement, vérifier le lien de téléchargement : assurer que vous téléchargez la rabby wallet extension depuis Firefox Add-ons officiel ou depuis le dépôt GitHub officiel de DeBank, jamais depuis une page non vérifiée. Deuxièmement, consulter les rapports d’audit publiquement disponibles sur le site DeBank ou demander les liens directement si nécessaire. Troisièmement, examiner les problèmes et pull requests récents sur le dépôt GitHub pour voir si des vulnérabilités ont été découvertes et corrigées régulièrement.

L’absence d’audit tiers n’est pas nécessairement un signe de danger, mais elle rend l’évaluation plus difficile. Un petit portefeuille ou une nouveau venu ne peut pas toujours se permettre des audits coûteux. La question critère est la transparence : l’équipe est-elle honnête sur ses limites, invite-t-elle les rapports de vulnérabilité, et répond-elle aux questions de sécurité de manière directe ou vague ? Une équipe qui refuse des questions ou redirige vers un marketing vague sur la sécurité est suspect indépendamment du code source ouvert.

Configuration sécurisée du portefeuille après installation

Une fois la rabby wallet extension installée sur Firefox, la configuration dépasse la simple saisie d’une phrase de récupération. L’utilisateur doit d’abord choisir un mot de passe fort. Ce mot de passe protège les clés privées chiffrées stockées localement. Un mot de passe faible peut être cassé par force brute en quelques secondes ou minutes si quelqu’un obtient l’accès aux données stockées. Le conseil standard s’applique : minimum 12 caractères, mélange de majuscules, minuscules, chiffres, et caractères spéciaux, entièrement mémorisé ou stocké dans un gestionnaire de mots de passe séparé et sécurisé, jamais écrit en clair près de l’ordinateur.

Deuxièmement, la phrase de récupération (seed phrase) elle-même doit être sauvegardée en toute sécurité avant d’ajouter des fonds. Rabby affichera les 12 ou 24 mots au cours du processus de création. L’utilisateur doit les écrire à la main sur papier, dans un ordre exact, sans utiliser un appareil photo ou un document numérique. Stocker la phrase à côté du portefeuille (comme dans le même dossier Firefox ou sur le même ordinateur) annule tout bénéfice de sécurité. La pratique recommandée est une sauvegarde physique dans un endroit sécurisé (coffre, coffre-fort, etc.) ou un coffre de récupération dédié hors ligne. Pour des montants importants, une sauvegarde sur deux emplacements géographiques distincts peut prévenir la perte totale si un endroit est compromise.

Troisièmement, l’utilisateur doit activer les paramètres de sécurité avancés. Rabby propose une simulation de transaction, qui affiche un aperçu des changements de solde avant que l’utilisateur ne signe. Cela aide à détecter les contrats malveillants ou les approbations dangereuses. La détection de phishing analyse les adresses et les noms de contrat pour alerter si un site semble suspect. Ces fonctionnalités doivent être activées par défaut, mais vérifier dans les paramètres confirme que rien n’a été désactivé accidentellement. Enfin, explorer les paramètres de réseau : confirmer que seules les chaînes EVM nécessaires sont visibles. Désactiver les chaînes non utilisées réduit la surface d’attaque et évite de confondre les chaînes lors de transactions importantes.

Gestion des permissions après l’installation initiale

Firefox permet aux utilisateurs de contrôler les permissions d’une extension après son installation. En accédant aux paramètres d’extension, un utilisateur peut restreindre l’accès aux onglets, bloquer les demandes de stockage, ou désactiver temporairement l’extension. Pour une rabby wallet extension, certaines restrictions peuvent casser la fonctionnalité. Par exemple, refuser l’accès aux onglets empêchera Rabby de détecter les demandes de signature des dApps. Cependant, l’utilisateur peut être granulaire : au lieu de donner à l’extension l’accès à tous les sites, Firefox permet de la restreindre à des domaines spécifiques.

Une pratique de sécurité avancée consiste à accorder à Rabby l’accès à la demande plutôt qu’en permanence. Dans Firefox, cela se configure dans les paramètres d’extension : définir l’extension pour qu’elle n’agisse que sur les sites visités explicitement ou uniquement après une action utilisateur. Cela limite la fenêtre d’exposition si la page Web elle-même ou un script tiers malveillant essaie de communiquer avec Rabby. Bien sûr, cela rend la dApp moins fluide (l’utilisateur peut devoir cliquer pour autoriser Rabby à fonctionner sur chaque nouveau site), mais c’est un compromis conscient entre sécurité et facilité d’utilisation.

Une autre couche est la gestion des approbations (approvals). Lorsqu’un utilisateur approuve un contrat pour dépenser des tokens au nom de l’utilisateur, cette approbation est enregistrée sur la blockchain. Rabby inclut une fonction de révocation d’approbation en lot, ce qui permet d’annuler rapidement plusieurs approbations dangereuses. Cependant, cette fonction dépend de la capacité de l’extension à détecter les approbations antérieures. Un utilisateur qui a utilisé d’autres portefeuilles avant Rabby ne verra peut-être pas les approbations émises par d’autres extensions. Pour une gestion complète, passer en revue manuellement les approbations via Etherscan ou un outil de visualisation des approbations complète ce que l’interface de Rabby offre.

Reconnaître et éviter les faux portefeuilles

Le développeur DeBank a publiquement averti que des applications frauduleuses prétendant être Rabby existent sur les magasins d’applications mobiles (iOS et Android). Rabby n’a pas d’application mobile officielle. Tout ce qui s’appelle “Rabby Wallet” sur l’App Store ou Google Play, en dehors des annonces directes de DeBank, est un imposteur. Cela s’étend au-delà des applications : des sites Web prétendant héberger un téléchargement de “rabby wallet extension” pourraient servir des versions modifiées qui volent les clés ou observent les transactions.

La vérification commence par l’URL. La rabby wallet extension doit être téléchargée via Firefox Add-ons (addons.mozilla.org) avec le lien officiel de Rabby, ou depuis le dépôt GitHub debank/rabby. Si un site Web propose un bouton “télécharger maintenant” et prétend héberger Rabby, vérifier l’URL de destination. Les criminels utilisent souvent des domaines similaires (rabby-wallet.com au lieu de debank.com) pour induire en erreur les utilisateurs. Une deuxième vérification : consulter le forum officiel de DeBank ou demander dans les canaux de communauté vérifiés (Discord, Twitter X officiel) si une source est authentique.

Pour les utilisateurs qui ont installé une extension Rabby, vérifier que c’est bien elle signifie contrôler le hash ou la signature de la version. Firefox maintient une liste des extensions installées dans le profil utilisateur. Ouvrir about:debugging et sélectionner “This Firefox” affichera les extensions chargées, y compris leur identifiant unique et leur chemin d’installation. La rabby wallet extension officielle apparaîtra avec l’ID d’extension officiel de DeBank (qui peut être trouvé sur la page Firefox Add-ons). Une extension avec un ID différent ou installée depuis un chemin de profil local suspects indique une installation non officielle. Dans ce cas, la désinstaller immédiatement et ne jamais importer de portefeuille jusqu’à avoir confirmé une installation légitime.

Évaluation du risque global et choix d’appareil

La sécurité d’une rabby wallet extension dépend non seulement de l’extension elle-même, mais de l’ensemble du système d’exploitation et du navigateur. Un ordinateur infecté par un malware, un rootkit, ou une extension malveillante rivale peut contourner la sécurité de Rabby. Le malware pourrait logger chaque frappe (clés de voûte), prendre des captures d’écran au moment de la saisie du mot de passe, ou même injecter du code dans la page Web de Rabby pour modifier l’adresse de destination d’une transaction avant signature.

Pour les montants importants, un utilisateur doit évaluer le risque. Un ordinateur dédié, utilisé uniquement pour les transactions crypto-monnaies, avec un système d’exploitation minimal et peu d’autres extensions, offre une surface d’attaque plus réduite qu’un ordinateur multiusage ou professionnel. Linux est souvent préféré pour cette raison : il offre plus de contrôle sur ce qui s’exécute et peut être plus difficile à compromettre que Windows ou macOS. Cependant, “Linux” n’est pas en soi une garantie : une distribution non patchée ou mal configurée peut être aussi vulnérable.

Une alternative à la gestion des risques en chaîne est l’utilisation d’un portefeuille matériel (hardware wallet) pour la signature hors ligne. Rabby peut servir de lecteur d’interface pour un portefeuille matériel comme Ledger ou Trezor, où les clés privées résidentes jamais sur l’ordinateur connecté à Internet. Chaque transaction doit être signée physiquement sur l’appareil matériel. Cela augmente la friction (chaque transaction prend plus de temps), mais il élimine le risque que le malware sur l’ordinateur vole les clés. Pour un trader actif, c’est peut-être trop lent. Pour quelqu’un qui détient à long terme, c’est une sécurité considérable du surcroît.