Confirmations, finalité et vérification d’un paiement

Qu’est-ce qu’une confirmation ?

Lorsqu’une transaction est incluse dans un bloc, un explorateur l’affiche avec 1 confirmation. Chaque bloc supplémentaire ajouté par-dessus en ajoute une de plus. Une transaction dans le bloc 900 000, consultée alors que le dernier bloc est le 900 005, a 6 confirmations : son propre bloc plus les cinq blocs ajoutés par-dessus.

Les confirmations mesurent la profondeur à laquelle une transaction est enfouie dans la chaîne et, par conséquent, la difficulté qu’il y aurait à l’annuler.

Pourquoi les blocs les plus récents peuvent changer

Il arrive parfois que deux producteurs de blocs créent un bloc valide à la même hauteur presque au même moment. Pendant un court instant, différentes parties du réseau suivent différentes versions du dernier bloc. L’égalité est rompue lorsque le bloc suivant est construit sur l’un d’eux ; le réseau suit alors cette version, et l’autre bloc devient périmé (souvent appelé orphelin). Les transactions qui ne figuraient que dans le bloc périmé retournent dans la mempool et sont normalement confirmées dans un bloc ultérieur.

Ce changement de courte durée s’appelle une réorganisation, ou reorg. Sur Bitcoin, des réorganisations d’un bloc se produisent de temps à autre ; les réorganisations plus profondes sont très rares, car chaque bloc supplémentaire ajouté par-dessus devrait être dépassé par un attaquant contrôlant une part énorme de la puissance de minage du réseau. C’est pourquoi la finalité de Bitcoin est dite probabiliste : une transaction ne devient jamais impossible à annuler, mais après quelques blocs, son annulation devient extrêmement coûteuse et improbable.

Combien de confirmations suffisent ?

Il n’existe pas de nombre unique qui convienne dans tous les cas. Cela dépend du réseau et des sommes en jeu. Pratique courante sur Bitcoin :

Les plateformes d’échange et les prestataires de paiement publient leurs propres seuils pour chaque réseau, qui peuvent être plus élevés pour les réseaux moins sécurisés.

Une transaction non confirmée (zéro confirmation) est une promesse, pas un paiement. Tant qu’elle ne figure pas dans un bloc, elle peut être supprimée de la mempool ou remplacée, par exemple avec RBF, par une version qui paie à une autre adresse. Ne considérez jamais une transaction en attente comme reçue lorsqu’il y a un enjeu important.

La finalité sur Ethereum

La preuve d’enjeu d’Ethereum ajoute une étape explicite appelée finalité. Le temps est regroupé en époques de 32 créneaux (6,4 minutes). Les validateurs votent sur des points de contrôle et, lorsqu’un point de contrôle reçoit suffisamment de votes au cours de deux époques consécutives, il devient finalisé, ainsi que tous les blocs qui le précèdent. Cela prend au moins deux époques ; une transaction est donc généralement finalisée 13 à 19 minutes après son inclusion, souvent estimées à environ 15 minutes.

Pour annuler un bloc finalisé, il faudrait que des validateurs contrôlant au moins un tiers de tous les ETH mis en jeu enfreignent les règles, et le protocole détruirait leur mise (slashing). De nombreux explorateurs affichent une étiquette comme « Finalisé » ou « Sûr » sur les blocs et les transactions, ou un nombre de confirmations à côté d’un indicateur de finalité. Pour les paiements de grande valeur sur Ethereum, attendre la finalité est une règle prudente.

Les autres réseaux atteignent la finalité à leur manière, parfois en quelques secondes. Vérifiez ce qu’affiche l’explorateur pour ce réseau au lieu d’appliquer partout les chiffres de Bitcoin.

Liste de vérification pour vérifier un paiement reçu

En réunissant tout ce cours, vous disposez d’une méthode fiable. Demandez à l’expéditeur l’identifiant de transaction, puis vérifiez-le sur un explorateur de confiance :

1. Le bon réseau et le bon explorateur. Utilisez l’explorateur du réseau sur lequel le paiement a été envoyé ; ouvrez-le depuis un favori ou en saisissant son adresse, et non depuis un lien fourni par l’expéditeur.
2. La transaction existe. Le TXID ouvre une véritable page de transaction.
3. Le statut indique une réussite. Sur les réseaux de type Ethereum, une transaction échouée n’a rien transféré.
4. Le destinataire est exactement votre adresse. Comparez l’adresse complète, pas seulement ses extrémités. Pour les jetons, consultez l’événement Transfer, et non le champ To.
5. L’actif est le bon. Pour les jetons, l’adresse du contrat doit être l’adresse officielle de ce jeton sur ce réseau.
6. Le montant est correct, après application des décimales ; sur Bitcoin, il doit figurer dans une sortie vers votre adresse, et non dans la monnaie rendue.
7. Le nombre de confirmations ou la finalité est suffisant pour le montant en jeu.
8. Effectuez une vérification croisée. Pour les paiements importants, confirmez sur un deuxième explorateur, ou dans votre propre portefeuille ou nœud.

Arnaques courantes et raisons pour lesquelles cette liste de vérification les déjoue

• Les captures d’écran d’une transaction « réussie » ne prouvent rien. Elles peuvent être modifiées en quelques secondes. N’importe qui peut vérifier un TXID : demandez-le toujours.
• Les faux sites d’explorateurs imitent les vrais et affichent ce que l’escroc veut. L’étape 1 permet de les déjouer.
• Les faux jetons portant le bon nom arrivent dans votre portefeuille. L’étape 5 permet de les repérer.
• Les paiements non confirmés qui sont ensuite remplacés. L’étape 7 permet de les repérer.
• Les paiements sur un réseau de test qui semblent réels, mais n’ont aucune valeur. Vérifiez le préfixe de l’adresse et le réseau.

Consigner vos constatations

Il peut vous arriver de devoir montrer à d’autres personnes ce qu’indique la chaîne, pour un comptable, un litige ou un rapport. Voici de bonnes habitudes :

• Enregistrez le lien vers la page de transaction et notez la date et l’heure de votre vérification, avec le fuseau horaire.
• Consignez le TXID, la hauteur du bloc, le nombre de confirmations au moment de la vérification et l’explorateur utilisé.
• N’oubliez pas que les pages des explorateurs affichent des données en temps réel : le nombre de confirmations aura augmenté et les étiquettes peuvent changer. Votre compte rendu doit indiquer ce que vous avez vu et à quel moment.

Le traitement formel des preuves, la chaîne de possession et les rapports d’expertise vont plus loin ; ils font partie du programme IDFE Certified Crypto Forensics Specialist.

Pour aller plus loin

Vous pouvez maintenant lire les blocs, les transactions, les frais, les adresses, les jetons et les confirmations sur tout explorateur majeur et vérifier vous-même un paiement. L’étape suivante est IDFE-DF, Digital Assets Foundations, qui s’appuie sur ces compétences pour aborder les clés et la conservation, les jetons et la DeFi, ainsi que le paysage réglementaire.

À retenir pour l’examen : comment compter les confirmations (inclusion = 1), les blocs périmés et les réorganisations, la finalité probabiliste sur Bitcoin et la pratique courante du 1/3/6, les risques des paiements sans confirmation, la finalité d’Ethereum (époques de 32 créneaux, au moins deux époques, environ 15 minutes, au moins un tiers des ETH mis en jeu exposés au risque), la liste de vérification des paiements et les raisons pour lesquelles les captures d’écran et les liens fournis par l’expéditeur ne constituent pas des preuves.