Peut-on révoquer les autorisations de jetons sur MetaMask ?

Chaque autorisation accordée par un compte MetaMask peut être révoquée. La méthode dépend du type d'autorisation.

Le centre d'aide de MetaMask distingue la déconnexion d'un site de la révocation d'une autorisation. Se déconnecter empêche un site web de voir votre adresse et vos soldes. Toute autorisation de jeton que vous y avez signée reste active on-chain et peut encore déplacer vos jetons.

Deux autorisations plus récentes peuvent également donner à une dapp un accès continu aux jetons. Depuis la mise à niveau Pectra d'Ethereum, MetaMask peut utiliser l'EIP-7702 pour associer un compte ordinaire à son propre contrat intelligent. Ce statut de compte intelligent est activé par défaut pour les nouveaux utilisateurs.

Les autorisations avancées ERC-7715, que MetaMask a également commencé à prendre en charge, permettent à une dapp de dépenser un montant plafonné d'un jeton selon un calendrier, sans demander de signature à chaque fois. Les deux types d'autorisation peuvent être désactivés dans le wallet.

Les quatre types d'autorisation et ce que chacun contrôle

Chaque autorisation est stockée différemment, ce qui détermine l'endroit où vous la révoquez.

• Connexion à un site : permet à un site web de voir votre adresse publique, vos soldes de jetons et votre activité, et d'envoyer des demandes de transaction à approuver. Elle ne peut pas déplacer de fonds d'elle-même. Les connexions sont stockées localement dans MetaMask et leur suppression est gratuite.
• Plafond de dépense du jeton (approbation ou allowance) : enregistrement on-chain sur un contrat de jeton autorisant un dépensier précis, l'adresse du contrat que vous avez approuvée, à déplacer jusqu'à un montant défini de ce jeton depuis votre wallet. Les dapps demandent couramment des plafonds illimités. MetaMask avertit que les plafonds de dépense illimités sont dangereux, car une dapp piratée ou frauduleuse peut vider tout votre solde de ce jeton. Les places de marché de NFT utilisent une autorisation apparentée, setApprovalForAll, qui couvre chaque jeton d'une collection.
• Signatures Permit et Permit2 : signatures sans gas qui accordent un plafond de dépense lorsqu'un contrat les soumet ultérieurement. Le Permit EIP-2612 fonctionne sur les jetons dotés de cette fonction intégrée. Le contrat Permit2 d'Uniswap étend cette approche à tout jeton ERC-20 une fois que vous avez approuvé Permit2 lui-même. Aucune de ces signatures n'apparaît onchain avant sa soumission.
• Délégation de compte intelligent et autorisations avancées : une délégation EIP-7702 fait pointer votre compte vers le contrat Delegator de MetaMask, ce qui permet le regroupement de transactions et le gas sponsorisé. Les autorisations avancées ERC-7715 s'appuient sur ce compte intelligent pour accorder à une dapp un accès limité et temporaire aux jetons, par exemple 10 USDC par jour pour un abonnement. Chacune nécessite des étapes de révocation distinctes.

Comment révoquer les autorisations de jetons sur MetaMask

Quatre méthodes couvrent tous les types d'autorisation. Nous utilisons la première après chaque session, et la deuxième ou la troisième pour tout ce qui concerne des fonds.

1. Déconnecter les sites dans MetaMask

Se déconnecter suffit si un site web s'est seulement connecté à votre wallet sans jamais demander d'approbation de jeton. C'est aussi la première étape après avoir visité une page en laquelle vous n'avez pas confiance.

Supprimer la connexion d'un site depuis le wallet :

1. Ouvrir les connexions Dapp : dans l'extension MetaMask, cliquez sur le menu en haut à droite de la vue du compte et choisissez Dapp connections. Sur mobile, ouvrez le site dans le navigateur intégré à l'application et touchez l'icône du compte en haut à droite.
2. Choisissez le site : sélectionnez le site web, puis appuyez sur Disconnect dans l'extension ou sur Disconnect all sur mobile pour en retirer vos comptes.
3. Tout effacer d'un coup : allez dans Paramètres, puis Sécurité et confidentialité, puis Effacer les données de confidentialité. Cela supprime toutes les connexions aux sites pour le compte actuellement sélectionné en une seule pression.

La déconnexion est gratuite et instantanée, car elle n'écrit rien sur la blockchain. Elle ne révoque donc rien onchain. Si vous avez signé une approbation sur le site, passez à l'étape suivante.

2. Révoquer les plafonds de dépenses dans MetaMask Portfolio

MetaMask Portfolio est un tableau de bord web distinct contenant le gestionnaire d'approbations de MetaMask. Il répertorie et révoque les plafonds de dépenses sur Ethereum Mainnet, Polygon, BNB Chain, Optimism et Base.

Révoquer une autorisation depuis MetaMask Portfolio :

1. Ouvrez Portfolio : rendez-vous sur portfolio.metamask.io, connectez MetaMask et restez sur l'onglet Overview.
2. Passer aux plafonds de dépenses : cliquez sur l'onglet Spending Caps pour afficher les autorisations actives sur les comptes connectés, classées par jeton et par bénéficiaire.
3. Révoquer et confirmer : cliquez sur Revoke à côté de l'autorisation, puis confirmez dans MetaMask. Chaque révocation nécessite une transaction onchain et des frais de gas du réseau pour la traiter.

Portfolio convient aux utilisateurs qui veulent rester dans MetaMask et n'utiliser que ses cinq réseaux pris en charge. Pour Arbitrum, Avalanche, Linea ou des chaînes plus petites, choisissez l'une des deux options suivantes.

3. Révoquer les approbations avec Revoke.cash

Le centre d'aide de MetaMask place Revoke.cash en tête des outils tiers. Nous l'utilisons pour les adresses actives sur plusieurs chaînes. En plus des plafonds de dépenses ERC-20, le tableau de bord affiche les approbations de NFT, les autorisations Permit2 et les délégations EIP-7702. Un vérificateur d'exploits compare vos approbations à une liste de contrats piratés.

Auditez et révoquez sur plus de 100 réseaux :

1. Chargez votre adresse : ouvrez Revoke.cash et connectez MetaMask, ou collez votre adresse ou votre nom ENS dans la barre de recherche. Un nom ENS est un nom lisible se terminant par .eth. Sélectionnez le réseau à examiner.
2. Tri et filtres : triez par date la plus récente pour repérer une approbation malveillante récente, ou filtrez les autorisations illimitées. Si une alerte de sécurité identifie un contrat, recherchez par bénéficiaire.
3. Révoquer ou révoquer par lot : Cliquez sur Revoke à côté d'une autorisation et confirmez dans MetaMask. Pour en retirer plusieurs, sélectionnez-les et utilisez la révocation par lot. Celle-ci s'appuie sur un compte intelligent EIP-7702 pour regrouper des dizaines de révocations en une seule transaction.

Le tableau de bord principal est gratuit, et chaque révocation ne coûte que les frais de gas. Dans l'offre gratuite, Revoke.cash facture 1,50 $ par lot. L'offre Premium coûte 99 $ par an, supprime les frais par lot et ajoute une vue multichaîne. L'offre Ultimate, à 199 $ par an, surveille en continu les autorisations et révoque automatiquement celles qui sont risquées, avec un petit budget de gas inclus.

Son extension de navigateur gratuite prend en charge tous les réseaux EVM et vous avertit avant que vous ne signiez une approbation ou un Permit suspect.

4. Utilisez le vérificateur d'approbation de jetons de l'explorateur de blocs

La plupart des principaux explorateurs EVM disposent d'un outil de vérification des autorisations. MetaMask oriente les utilisateurs vers Etherscan, BscScan et Polygonscan, où vous pouvez vérifier le contrat d'un dépensier sur le même site que celui utilisé pour consulter les transactions.

Révoquer depuis un explorateur :

1. Connectez-vous à Web3 : ouvrez le vérificateur d'approbations de jetons de votre explorateur de réseau, cliquez sur Connect to Web3 et choisissez MetaMask.
2. Vérifiez les spenders : le vérificateur répertorie les approbations ERC-20, ERC-721 et ERC-1155, y compris le nom du contrat du spender lorsqu'il est vérifié. Ouvrez la page du contrat de tout spender que vous ne reconnaissez pas.
3. Révoquer et payer le gas : cliquez sur Révoquer à côté de l'entrée. Vérifiez le jeton et le spender dans la fenêtre de confirmation de MetaMask, puis confirmez la transaction.

Chaque outil de vérification d'explorateur ne couvre qu'une seule chaîne. Auditer un wallet utilisé sur six réseaux exige donc six visites distinctes ; nous recommandons par défaut un outil multichaîne pour un examen complet.

Comment révoquer les délégations de compte intelligent et les autorisations avancées

Les comptes intelligents sont activés par défaut pour les nouveaux utilisateurs de MetaMask ; beaucoup détiennent donc désormais une délégation EIP-7702 sans l'avoir configurée eux-mêmes. Une délégation vers le contrat Delegator audité de MetaMask est sûre. Toutefois, le regroupement permet à une transaction de déplacer plusieurs actifs à la fois, ce qui augmente ce qu'un site de phishing peut faire avec une seule signature.

Dans les mois ayant suivi Pectra, Scam Sniffer a recensé deux cas importants d'hameçonnage par lots via EIP-7702, pour des pertes cumulées de 2,54 millions de dollars.

Repasser un compte intelligent en compte standard :

1. Ouvrez les détails du compte : cliquez sur le sélecteur de compte en haut de MetaMask, appuyez sur les trois points à côté du compte et choisissez Détails du compte, puis Compte intelligent.
2. Désactivez chaque réseau : désactivez le statut de compte intelligent sur chaque réseau que vous souhaitez rétablir. Ce paramètre est propre à chaque réseau, et chaque désactivation nécessite une transaction avec de faibles frais de gas.
3. Confirmez le retour en arrière : vérifiez et confirmez dans MetaMask. Votre adresse, vos fonds et votre phrase secrète de récupération restent identiques, car le compte reste un EOA, un compte ordinaire contrôlé par clé, tout au long du processus.

Revoke.cash affiche les délégations actives dans son onglet Delegations, mais ne peut pas les annuler. MetaMask n'autorise pas les dapps externes à définir ou révoquer les délégations EIP-7702, ce qui fait de l'interrupteur du wallet la seule méthode de suppression.

Pour annuler les autorisations avancées ERC-7715, ouvrez Dapp connections dans MetaMask et révoquez l'autorisation active. Beaucoup ont une date d'expiration et prennent fin automatiquement.

Si vous avez désactivé votre compte intelligent, MetaMask vous demande de le réactiver avant qu'une dapp puisse demander une autorisation avancée. Cette invite indique que la dapp souhaite obtenir un accès continu.

Que faire face aux signatures Permit et Permit2

Aucun tableau de bord ne peut montrer quelles signatures Permit vous avez signées, car elles n'apparaissent onchain que lorsque le destinataire les soumet. Les wallet drainers exploitent cet angle mort. Le dernier rapport annuel de Scam Sniffer attribuait 38 pour cent des pertes des cas importants aux signatures Permit et Permit2, y compris le plus gros vol de l'année, 6,5 millions de dollars en stETH et en Bitcoin enveloppé.

Si vous pensez avoir signé un Permit sur un site de phishing, utilisez d'abord Revoke.cash ou Portfolio pour révoquer votre approbation permanente du contrat Permit2. Révoquez également les approbations accordées aux contrats de places de marché NFT telles qu'OpenSea ou Blur.

Ouvrez ensuite l'onglet Signatures sur la page de votre compte Revoke.cash pour annuler d'éventuelles signatures Permit pour les jetons que vous détenez. Revoke.cash indique que cette page ne peut lister que les jetons pour lesquels une signature peut exister. Ne payez du gas pour une annulation que si vous êtes certain d'avoir signé quelque chose.

Si des fonds sortent déjà et que chaque recharge en ETH disparaît en quelques secondes, votre seed phrase a été compromise. Révoquer les autorisations n'y changera rien. Transférez ce qui reste vers un nouveau wallet et abandonnez l'ancien.

Lorsque vous approuvez Permit2, remplacez la valeur par défaut illimitée par un plafond de dépenses. MetaMask vous permet de modifier le plafond sur l'écran de confirmation avant de signer, ce qui limite le montant qu'une signature ultérieure peut vider.

Comment révoquer les autorisations de jetons sur Solana

Les outils de révocation EVM ne fonctionnent pas sur Solana, car ses autorisations fonctionnent différemment. Chaque jeton se trouve dans son propre compte de jeton, dont le propriétaire peut désigner un seul délégué autorisé à transférer jusqu'à un montant défini. Seul le propriétaire du compte de jeton peut signer l'instruction Revoke du Token Program, qui supprime le délégué et remet le montant délégué à zéro.

La plupart des actions DeFi sur Solana ne créent pas de délégation durable. Les drainers utilisent plutôt de fausses pages de réclamation qui en approuvent discrètement une.

Les comptes Solana de MetaMask n'ont pas d'écran de délégation dédié ; vous devez donc vous connecter à un outil de révocation Solana. Le centre d'aide de Phantom recommande le Famous Fox Federation Revoker. L'outil de révocation de Sol Incinerator analyse aussi les comptes SPL Token et Token-2022.

Supprimez les délégations Solana avec un outil de révocation :

1. Connectez un wallet Solana : ouvrez l'outil de révocation et connectez Phantom, Solflare ou un autre wallet Solana pris en charge. Laissez-le analyser vos comptes de jetons à la recherche de délégations actives.
2. Vérifiez l'adresse approuvée : examinez le nom de chaque jeton, l'adresse de mint et le délégué. Conservez tout délégué requis par un référencement sur une place de marché ouverte ou par une position de prêt.
3. Révoquer et signer : sélectionnez les délégués à retirer et signez la transaction. Vos jetons restent dans votre wallet et vous ne payez que les frais standard du réseau Solana.

Déconnecter une application Solana dans Phantom ou MetaMask empêche de nouvelles demandes de signature, mais laisse intacts les délégués onchain. La même distinction s'applique sur Ethereum. Notre comparatif MetaMask vs Phantom explique comment les deux wallets gèrent Solana.

Pourquoi la révocation des autorisations reste importante

Le phishing par approbation et par signature a nettement reculé l'an dernier, mais les pertes restent concentrées sur les autorisations abordées ici. Scam Sniffer a recensé 83,85 millions de dollars volés à 106 106 victimes via des wallet drainers en 2025. C'était 83 pour cent de moins que les 494 millions de dollars de l'année précédente.

Les pertes ont suivi l'activité du marché, atteignant 31 millions de dollars au troisième trimestre, pendant la plus forte hausse d'Ethereum de l'année. Les onze cas dépassant 1 million de dollars impliquaient tous une signature approuvée par la victime. Il s'agissait notamment de Permits, d'appels approve ou increaseApproval, d'autorisations setApprovalForAll sur des NFTs de positions Uniswap V3, et de lots EIP-7702.

Les approbations accordées à des protocoles légitimes comportent aussi un risque durable. Une autorisation accordée il y a deux ans reste valide si le protocole est piraté par la suite ou si son interface est compromise. Un attaquant peut utiliser cette autorisation sans vos clés. Comme l'explique Revoke.cash, un hardware wallet n'offre aucune protection ici, car l'approbation signée autorise déjà les dépenses. La révocation régulière est la seule défense efficace après coup.

Nous considérons les approbations accordées aux plateformes d'échange décentralisées, aux bridges et aux places de marché NFT comme temporaires. Après avoir utilisé l'une des principales plateformes d'échange décentralisées ou un bridge cross-chain, nous révoquons l'autorisation durant la même session. La prochaine fois que nous en avons besoin, nous n'approuvons que le montant exact.

Problèmes courants de révocation MetaMask et solutions

La plupart des révocations échouées ou confuses tiennent à trois causes. Vérifiez-les dans l'ordre avant de supposer que le wallet est en cause.

1. L'approbation n'apparaît pas

Vérifiez d'abord le type d'autorisation et le réseau :

1. Vérifiez ce que vous avez accordé : une connexion à un site n'apparaît pas dans la liste des plafonds de dépenses. Consultez plutôt les connexions Dapp. Si vous avez activé un compte intelligent, regardez dans l'onglet Délégations.
2. Choisissez le bon réseau : les approbations sont enregistrées séparément sur chaque chaîne. Pour une approbation signée sur Arbitrum, basculez à la fois MetaMask et l'outil de révocation sur Arbitrum. Si le réseau est absent, suivez notre guide pour ajouter des réseaux à MetaMask.
3. Essayez un second outil : Portfolio n'indexe que cinq réseaux, alors que chaque explorateur indexe les siens. Si l'autorisation est absente des deux, chargez votre adresse dans Revoke.cash et vérifiez la même chaîne.

2. La transaction de révocation échoue

Écartez les gas et les transactions en attente :

1. Approvisionnez le jeton natif : les révocations Onchain nécessitent la cryptomonnaie native du réseau pour payer le gas, comme ETH, POL, BNB ou SOL. Avant de lancer un long lot, vérifiez le coût actuel sur notre suivi du gas d'Ethereum.
2. Débloquer les transactions bloquées : une transaction en attente avec un nonce plus bas bloque celles qui la suivent. Le nonce est le numéro de séquence que MetaMask attribue à chaque transaction. Accélérez ou annulez la transaction en attente dans l'onglet Activité avant de réessayer. Si la fenêtre de confirmation renvoie une erreur, consultez notre solution pour l'erreur JSON-RPC interne dans MetaMask.
3. Attendez que le RPC se rétablisse : les points de terminaison RPC publics sont les serveurs que MetaMask utilise pour accéder à une chaîne. En cas de congestion, ils peuvent abandonner des requêtes sur les petits réseaux. Réessayez après quelques minutes ou passez à un autre RPC pour ce réseau.

3. L’autorisation semble toujours active

Distinguer des données obsolètes d'un vrai problème :

1. Actualisez la source : les outils de révocation mettent les résultats en cache. Une fois la révocation confirmée, rechargez la page et relancez l'analyse, puis vérifiez le hash de la transaction sur l'explorateur pour confirmer la réussite.
2. Vérifiez s'il y a une nouvelle approbation : certaines dapps demandent automatiquement une autre approbation à votre retour. Une autorisation qui réapparaît signifie que le site l'a demandée de nouveau et que vous l'avez signée.
3. Recherchez un bot « sweeper » : si l'ETH déposé pour le gas disparaît immédiatement, votre clé privée est compromise et la révocation ne suffira pas. Déplacez tout ce que vous pouvez vers un nouveau wallet sans réutiliser la seed phrase.

Conclusion

Toutes les autorisations d'un compte MetaMask peuvent désormais être révoquées. Portfolio gère les plafonds de dépenses sur cinq réseaux, tandis que Revoke.cash couvre les autres types d'autorisations, notamment Permit2 et les délégations. Les délégations de comptes intelligents et les autorisations ERC-7715 sont désactivées dans le wallet.

Programmez un rappel mensuel pour consulter Revoke.cash ou Portfolio et supprimer les autorisations inutilisées. Pour les approbations que vous conservez, choisissez un plafond de dépense plutôt qu'un accès illimité. Ensemble, ces habitudes suppriment l'essentiel de l'exposition dont dépendent les wallet drainers.