Pouvez-vous revoke les token permissions sur MetaMask ?

Chaque autorisation accordée par un compte MetaMask peut être supprimée. La méthode dépend du type d'autorisation.

Le centre d'aide de MetaMask fait la distinction entre la déconnexion d'un site et le fait de revoke une approbation. La déconnexion empêche un site Web de voir votre adresse et vos soldes. Toute approbation de token que vous y avez signée reste active onchain et peut toujours déplacer vos tokens.

Deux autorisations plus récentes peuvent également donner à une dapp un accès continu aux tokens. Depuis la mise à niveau Pectra d'Ethereum, MetaMask peut utiliser l'EIP-7702 pour pointer un compte ordinaire vers son propre contrat intelligent. Ce statut de compte intelligent est activé par défaut pour les nouveaux utilisateurs.

Les autorisations avancées ERC-7715, que MetaMask a également commencé à prendre en charge, permettent à une dapp de dépenser un montant plafonné d'un token selon un calendrier sans demander de signature à chaque fois. Ces deux types d'autorisations peuvent être désactivés dans le wallet.

Les quatre types d'autorisations et ce que chacun contrôle

Chaque autorisation est stockée différemment, ce qui détermine l'endroit où vous devez la supprimer.

• Connexion à un site : Permet à un site Web de voir votre adresse publique, vos soldes de tokens et votre activité, ainsi que d'envoyer des demandes de transaction pour approbation. Il ne peut pas déplacer de fonds de lui-même. Les connexions sont stockées localement dans MetaMask et leur suppression ne coûte rien.
• Plafond de dépenses de tokens (approbation ou allowance) : Un enregistrement onchain sur un contrat de token autorisant un tiers spécifique (l'adresse du contrat que vous avez approuvée) à déplacer jusqu'à un montant défini de ce token depuis votre wallet. Les dapps demandent généralement des plafonds illimités. MetaMask prévient que les plafonds de dépenses illimités sont dangereux, car une dapp piratée ou frauduleuse peut vider la totalité de votre solde de ce token. Les places de marché NFT utilisent une autorisation similaire, setApprovalForAll, qui couvre tous les tokens d'une collection.
• Signatures Permit et Permit2 : Des signatures sans gas qui accordent un plafond de dépenses lorsqu'un contrat les soumet ultérieurement. Le Permit EIP-2612 fonctionne sur les tokens dont la fonction est intégrée. Le contrat Permit2 d'Uniswap étend cette approche à n'importe quel token ERC-20 dès que vous approuvez Permit2 lui-même. Aucune signature n'apparaît onchain avant sa soumission.
• Délégation de compte intelligent et autorisations avancées : Une délégation EIP-7702 pointe votre compte vers le contrat Delegator de MetaMask, permettant le regroupement des transactions et le gas sponsorisé. Les autorisations avancées ERC-7715 s'appuient sur ce compte intelligent pour accorder à une dapp un accès limité et temporaire aux tokens, par exemple 10 USDC par jour pour un abonnement. Chacun nécessite des étapes de révocation distinctes.

Comment revoke les token permissions sur MetaMask

Quatre méthodes couvrent tous les types d'autorisations. Nous utilisons la première après chaque session et la deuxième ou la troisième pour tout ce qui implique des fonds.

1. Déconnecter les sites dans MetaMask

La déconnexion suffit si un site Web s'est uniquement connecté à votre wallet et n'a jamais demandé l'approbation d'un token. C'est également la première étape après avoir visité une page à laquelle vous ne faites pas confiance.

Supprimer la connexion d'un site depuis le wallet :

1. Ouvrir les connexions aux dapps : Dans l'extension MetaMask, cliquez sur le menu en haut à droite de la vue du compte et choisissez Connexions aux dapps. Sur mobile, ouvrez le site dans le navigateur intégré à l'application et appuyez sur l'icône du compte en haut à droite.
2. Sélectionner le site : Choisissez le site Web, puis appuyez sur Déconnecter sur l'extension ou sur Tout déconnecter sur mobile pour en supprimer vos comptes.
3. Tout effacer en une seule fois : Allez dans Paramètres, puis Sécurité et confidentialité, puis Effacer les données de confidentialité. Cela supprime toutes les connexions de sites pour le compte actuellement sélectionné en un seul appui.

La déconnexion est gratuite et instantanée car elle n'écrit rien sur la blockchain. Elle ne revoke rien non plus onchain. Si vous avez signé une approbation sur le site, passez à l'étape suivante.

2. Révoquer les plafonds de dépenses dans MetaMask Portfolio

MetaMask Portfolio est un tableau de bord web séparé qui intègre le gestionnaire d'approbations de MetaMask. Il répertorie et révoque les plafonds de dépenses sur Ethereum Mainnet, Polygon, BNB Chain, Optimism et Base.

Révoquer une autorisation depuis MetaMask Portfolio :

1. Ouvrir Portfolio : Rendez-vous sur portfolio.metamask.io, connectez MetaMask et restez sur l'onglet Overview.
2. Passer aux plafonds de dépenses : Cliquez sur l'onglet Spending Caps pour afficher les autorisations actives sur les comptes connectés, triées par token et par débiteur.
3. Révoquer et confirmer : Appuyez sur Revoke à côté de l'autorisation, puis confirmez dans MetaMask. Chaque révocation nécessite une transaction onchain et des frais de gas réseau pour être traitée.

Portfolio convient aux utilisateurs qui souhaitent rester au sein de MetaMask et n'utiliser que ses cinq réseaux pris en charge. Pour Arbitrum, Avalanche, Linea ou des chaînes plus petites, choisissez l'une des deux options suivantes.

3. Révoquer les approbations à l'aide de Revoke.cash

Le centre d'aide de MetaMask place Revoke.cash en tête des outils tiers. Nous l'utilisons pour les adresses actives sur plusieurs chaînes. Outre les plafonds de dépenses ERC-20, le tableau de bord affiche les approbations de NFT, les autorisations Permit2 et les délégations EIP-7702. Un vérificateur d'exploits compare vos approbations à une liste de contrats piratés.

Auditer et révoquer sur plus de 100 réseaux :

1. Charger votre adresse : Ouvrez Revoke.cash et connectez MetaMask, ou collez votre adresse ou votre nom ENS dans la barre de recherche. Un nom ENS est un nom lisible se terminant par .eth. Sélectionnez le réseau à inspecter.
2. Trier et filtrer : Triez par ordre de plus récent pour trouver une nouvelle approbation malveillante, ou filtrez par autorisations illimitées. Si une alerte de sécurité identifie un contrat, effectuez une recherche par débiteur.
3. Révoquer ou révoquer par lot : Cliquez sur Revoke à côté d'une approbation et confirmez dans MetaMask. Pour en supprimer plusieurs, sélectionnez-les et utilisez la révocation par lot. Cela utilise un smart account EIP-7702 pour combiner des dizaines de révocations en une seule transaction.

Le tableau de bord principal est gratuit, et chaque révocation ne coûte que du gas. Sur l'offre gratuite, Revoke.cash facture 1,50 $ par lot. La version Premium coûte 99 $ par an, supprime les frais de lot et ajoute une vue multichain. Ultimate, à 199 $ par an, surveille en continu les approbations et révoque automatiquement celles qui présentent des risques, avec un petit budget de gas inclus.

Son extension de navigateur gratuite prend en charge tous les réseaux EVM et prévient avant de signer une approbation ou un Permit suspect.

4. Utiliser le vérificateur d'approbations de tokens de l'explorateur de blocs

La plupart des principaux explorateurs EVM disposent d'un vérificateur d'approbations. MetaMask dirige les utilisateurs vers Etherscan, BscScan et Polygonscan, où vous pouvez vérifier le contrat d'un débiteur sur le même site que celui que vous utilisez pour lire les transactions.

Révoquer à partir d'un explorateur :

1. Se connecter au Web3 : Ouvrez le vérificateur d'approbations de tokens de l'explorateur de votre réseau, cliquez sur Connect to Web3 et choisissez MetaMask.
2. Examiner les débiteurs : Le vérificateur répertorie les approbations ERC-20, ERC-721 et ERC-1155, y compris le nom du contrat du débiteur lorsqu'il est vérifié. Ouvrez la page du contrat pour tout débiteur que vous ne reconnaissez pas.
3. Révoquer et payer le gas : Appuyez sur Revoke à côté de l'entrée. Vérifiez le token et le débiteur dans la fenêtre de confirmation de MetaMask, puis confirmez la transaction.

Chaque vérificateur d'explorateur couvre une seule chaîne. L'audit d'un wallet utilisé sur six réseaux nécessite donc six visites distinctes, c'est pourquoi nous privilégions par défaut un outil multichain pour un examen complet.

Comment révoquer les délégations de smart accounts et les autorisations avancées

Les smart accounts sont activés par défaut pour les nouveaux utilisateurs de MetaMask, de sorte que beaucoup détiennent désormais une délégation EIP-7702 sans l'avoir configurée eux-mêmes. Une délégation vers le contrat Delegator audité de MetaMask est sûre. Cependant, le traitement par lots permet à une transaction de déplacer plusieurs actifs à la fois, augmentant ce qu'un site de phishing peut faire avec une seule signature.

Dans les mois suivant Pectra, Scam Sniffer a enregistré deux grands cas de phishing par lot EIP-7702 pour des pertes combinées de 2,54 millions de dollars.

Rétrograder un smart account vers un compte standard :

1. Ouvrir les détails du compte : Cliquez sur le sélecteur de compte en haut de MetaMask, appuyez sur les trois points à côté du compte, choisissez Détails du compte, puis Smart account.
2. Désactiver chaque réseau : Désactivez le statut de smart account sur chaque réseau que vous souhaitez rétablir. Ce paramètre est spécifique à chaque réseau et chaque bascule nécessite une transaction avec de petits frais de gas.
3. Confirmer le retour en arrière : Examinez et confirmez dans MetaMask. Votre adresse, vos fonds et votre seed phrase restent les mêmes, car le compte reste un EOA (un compte ordinaire contrôlé par une clé) tout au long du processus.

Revoke.cash affiche les délégations actives dans son onglet Delegations, mais ne peut pas les annuler. MetaMask ne permet pas aux dapps externes de définir ou de revoke des délégations EIP-7702, ce qui fait du bouton du wallet la seule méthode de suppression.

Pour annuler les autorisations avancées ERC-7715, ouvrez Dapp connections dans MetaMask et revoke l'autorisation active. Nombre d'entre elles ont une date d'expiration et prennent fin automatiquement.

Si vous avez désactivé votre smart account, MetaMask vous demande de le réactiver avant qu'une dapp ne puisse demander une autorisation avancée. Cette invite indique que la dapp souhaite un accès permanent.

Que faire face aux signatures Permit et Permit2

Aucun tableau de bord ne peut afficher les signatures Permit que vous avez signées, car elles n'apparaissent onchain que lorsque le destinataire les soumet. Les draineurs de wallet affectionnent particulièrement ce angle mort. Le rapport annuel le plus récent de Scam Sniffer attribue 38 % des pertes importantes aux signatures Permit et Permit2, y compris le vol le plus important de l'année, soit 6,5 millions de dollars en stETH et en Bitcoin enveloppé.

Si vous pensez avoir signé un Permit sur un site de phishing, utilisez d'abord Revoke.cash ou Portfolio pour revoke votre approbation permanente auprès du contrat Permit2. Revokez également les approbations accordées aux contrats de places de marché NFT telles que OpenSea ou Blur.

Ensuite, ouvrez l'onglet Signatures de votre page de compte Revoke.cash pour annuler les signatures Permit potentielles pour les tokens que vous détenez. Revoke.cash indique que cette page ne peut lister que les tokens pour lesquels une signature pourrait exister. Ne dépensez du gas pour l'annulation que si vous êtes certain d'avoir signé quelque chose.

Si des fonds quittent déjà votre wallet et que chaque recharge en ETH disparaît en quelques secondes, votre seed phrase a été compromise. La révocation ne servira à rien. Transférez ce qui reste vers un wallet neuf et abandonnez l'ancien.

Lors de l'approbation de Permit2, remplacez la limite illimitée par défaut par un plafond de dépenses. MetaMask vous permet de modifier le plafond sur l'écran de confirmation avant de signer, ce qui limite le montant qu'une signature ultérieure peut drainer.

Comment revoke des token permissions sur Solana

Les outils de révocation EVM ne fonctionnent pas sur Solana, car ses autorisations fonctionnent différemment. Chaque token réside dans son propre token account, dont le propriétaire peut nommer un unique délégué pour transférer jusqu'à un montant défini. Seul le propriétaire du token account peut signer la Revoke instruction du Token Program, ce qui supprime le délégué et réinitialise le montant délégué à zéro.

La plupart des actions DeFi sur Solana ne créent pas de délégué permanent. Les draineurs utilisent plutôt de faux sites de réclamation qui en approuvent un discrètement.

Les comptes Solana de MetaMask ne disposent pas d'un écran de délégation dédié, vous devez donc vous connecter à un outil de révocation Solana. Le centre d'aide de Phantom recommande le Famous Fox Federation Revoker. L'outil de révocation de Sol Incinerator analyse également les comptes SPL Token et Token-2022.

Effacer les délégués Solana à l'aide d'un outil de révocation :

1. Connecter un wallet Solana : Ouvrez l'outil de révocation et connectez Phantom, Solflare ou un autre wallet Solana pris en charge. Laissez-le analyser vos token accounts à la recherche de délégués actifs.
2. Vérifier l'adresse approuvée : Examinez chaque nom de token, adresse de mint et délégué. Conservez tout délégué requis par une annonce active sur une place de marché ou une position de prêt.
3. Revoke et signer : Sélectionnez les délégués à supprimer et signez la transaction. Vos tokens restent dans votre wallet et vous ne payez que les frais de réseau Solana standard.

Déconnecter une application Solana dans Phantom ou MetaMask arrête les nouvelles demandes de signature, mais laisse les délégués onchain intacts. La même distinction s'applique sur Ethereum. Notre comparatif MetaMask vs Phantom explique comment les deux wallets gèrent Solana.

Pourquoi il est toujours crucial de revoke des autorisations

Le phishing par approbation et signature a fortement chuté l'année dernière, mais les pertes restent concentrées sur les autorisations couvertes ici. Scam Sniffer a répertorié 83,85 millions de dollars volés à 106 106 victimes par le biais de draineurs de wallet en 2025. Cela représente une baisse de 83 % par rapport aux 494 millions de dollars de l'année précédente.

Les pertes ont suivi l'activité du marché, atteignant 31 millions de dollars au troisième trimestre lors du plus grand rallye d'Ethereum de l'année. Les onze cas dépassant 1 million de dollars impliquaient tous une signature approuvée par la victime. Ceux-ci incluent des Permit, des appels approve ou increaseApproval, des autorisations setApprovalForAll sur des NFT de position Uniswap V3 et des lots EIP-7702.

Les approbations accordées à des protocoles légitimes comportent également des risques durables. Une autorisation concédée il y a deux ans reste valide si le protocole est ultérieurement exploité ou si son interface est compromise. Un attaquant peut utiliser cette autorisation sans vos clés. Comme l'explique Revoke.cash, un hardware wallet n'offre aucune protection ici, car l'approbation signée autorise déjà la dépense. Une révocation régulière est la seule défense qui fonctionne après coup.

Nous traitons les approbations accordées aux DEX, aux bridge et aux plateformes NFT comme temporaires. Après avoir utilisé l'un des principaux DEX ou un cross-chain bridge, nous révoquons l'autorisation au cours de la même session. La prochaine fois que nous en aurons besoin, nous n'approuverons que le montant exact.

Problèmes de révocation courants sur MetaMask et solutions

La plupart des révocations échouées ou confuses s'expliquent par trois causes. Vérifiez-les dans l'ordre avant de supposer que le wallet est en cause.

1. L'approbation ne s'affiche pas

Vérifiez d'abord le type de permission et le réseau :

1. Confirmez ce que vous avez accordé : Une connexion à un site n'apparaît pas dans une liste de plafonds de dépenses. Vérifiez plutôt les connexions aux dApps. Si vous avez activé un compte intelligent, consultez l'onglet Délégations.
2. Faites correspondre le réseau : Les approbations sont enregistrées séparément sur chaque chaîne. Pour une approbation signée sur Arbitrum, basculez à la fois MetaMask et l'outil de revoke sur Arbitrum. Si le réseau est manquant, suivez notre guide pour ajouter des réseaux à MetaMask.
3. Essayez un deuxième outil : Portfolio n'indexe que cinq réseaux, tandis que chaque explorateur indexe le sien. Si l'autorisation est absente des deux, chargez votre adresse dans Revoke.cash et vérifiez la même chaîne.

2. La transaction de révocation échoue

Écartez les problèmes de gas et de transactions en attente :

1. Alimentez le token natif : Les révocations Onchain nécessitent la cryptomonnaie native du réseau pour le gas, telle que l'ETH, le POL, le BNB ou le SOL. Avant d'entamer un long lot, vérifiez le coût actuel sur notre suivi du gas Ethereum.
2. Effacez les transactions bloquées : Une transaction en attente dotée d'un nonce inférieur bloque celles qui la suivent. Le nonce est le numéro de séquence que MetaMask attribue à chaque transaction. Accélérez ou annulez la transaction en attente dans l'onglet Activité avant de réessayer. Si la fenêtre de confirmation renvoie une erreur, consultez notre solution pour l'erreur JSON-RPC interne dans MetaMask.
3. Patientez face au RPC : Les nœuds RPC publics sont les serveurs utilisés par MetaMask pour atteindre une chaîne. En période de congestion, ils peuvent rejeter des requêtes sur les réseaux plus petits. Réessayez après quelques minutes ou basculez vers un autre RPC pour ce réseau.

3. L'autorisation semble toujours active

Distinguez les données obsolètes d'un véritable problème :

1. Actualisez la source : Les outils de revoke mettent les résultats en cache. Une fois la révocation confirmée, rechargez et relancez l'analyse, puis vérifiez le hash de la transaction sur l'explorateur pour valider le succès.
2. Vérifiez si une ré-approbation a eu lieu : Certaines dApps demandent automatiquement une nouvelle approbation lorsque vous y retournez. Une autorisation qui réapparaît signifie que le site l'a demandée à nouveau et que vous l'avez signée.
3. Recherchez un bot de balayage : Si l'ETH déposé pour le gas disparaît immédiatement, votre private key est compromise et la révocation ne tiendra pas. Transférez tout ce que vous pouvez vers un nouveau wallet sans réutiliser la seed phrase.

Dernières réflexions

Chaque permission sur un compte MetaMask peut désormais être supprimée. Portfolio gère les plafonds de dépenses sur cinq réseaux, tandis que Revoke.cash couvre les autres types de permissions, y compris Permit2 et les délégations. Les délégations de comptes intelligents et les permissions ERC-7715 sont désactivées directement à l'intérieur du wallet.

Programmez un rappel mensuel pour consulter Revoke.cash ou Portfolio et supprimer les autorisations inutilisées. Pour les approbations que vous conservez, privilégiez un plafond de dépenses plutôt qu'un accès illimité. Ensemble, ces habitudes éliminent la majeure partie de l'exposition dont dépendent les draineurs de wallet.