L'auto-garde marche parce que seul le détenteur d'une clé peut déplacer les actifs. C'est une propriété de sécurité de son vivant et un problème de dévolution après, et c'est la seule partie de la détention d'actifs numériques que personne ne peut réparer après coup, à aucun prix.
Une clé détenue par vous seul signifie que personne ne peut prendre vos avoirs. Cela signifie aussi que personne ne peut les trouver. Il n'y a aucune institution à qui écrire, aucun compte à réclamer, aucun processus par lequel un proche prouve un droit et reçoit un solde. Les clés existent quelque part de trouvable ou les actifs sont perdus, et il n'y a pas de troisième état.
Ce n'est pas un défaut de conception ; c'est la conception qui fonctionne exactement comme prévu. Mais elle a été bâtie pour résoudre le problème d'un tiers qui saisit ou perd vos actifs, et elle n'a pas été bâtie pour résoudre le problème de votre absence. Le second problème est le vôtre, et les outils pour le traiter sont procéduraux plutôt que techniques.
L'ampleur de la version non résolue mérite d'être dite. Une proportion significative de l'offre totale des plus anciens actifs numériques est considérée comme définitivement inaccessible, et si une partie relève de clés perdues du vivant, une autre relève de détenteurs morts sans rien laisser de trouvable derrière eux. Ce résultat est courant, et il est entièrement évitable.
Il n'y a aucune institution à qui écrire et aucun compte à réclamer. Les clés sont trouvables ou les actifs sont perdus, et il n'y a pas de troisième état.
Le problème est plus difficile qu'il n'y paraît parce qu'il a deux modes de défaillance qui tirent en sens inverse. Le premier est que personne ne puisse trouver ni utiliser les clés après votre mort, et les avoirs sont perdus. Le second est que quelqu'un puisse les trouver et les utiliser de votre vivant, et les avoirs sont volés.
Toute solution naïve échoue sur l'un des deux. Écrire la phrase de récupération et dire à un proche où elle se trouve résout le premier et crée le second. Ne rien dire à personne résout le second et garantit le premier. Tout plan qui n'adresse pas consciemment les deux résout la moitié du problème avec le sentiment de l'avoir résolu entièrement.
Le cadrage qui aide est de penser en termes de condition plutôt que de secret : l'accès devrait devenir disponible quand une chose précise est vraie, et pas avant. Tout ce qui suit est une manière d'implémenter cette condition avec des arbitrages différents entre complexité et robustesse.
Trois composants, et la plupart des plans n'ont que le premier. Un inventaire : ce qui existe, où, et à peu près combien, pour que la personne qui gère vos affaires sache qu'il y a quelque chose à chercher. Sans lui, des avoirs peuvent être perdus simplement parce que personne n'a su qu'il fallait demander, ce qui est la défaillance la plus évitable de toutes.
Des instructions d'accès : comment atteindre chaque chose, écrites pour quelqu'un qui ne sait pas ce que c'est. Pas une phrase de récupération dans une enveloppe, mais la procédure, en langage ordinaire, en supposant aucune familiarité avec le vocabulaire. La personne qui exécutera cela peut être un notaire ou un conjoint sans aucun bagage technique, et les instructions doivent fonctionner pour lui.
Et la couche juridique : ce que votre juridiction exige pour que les actifs reviennent aux personnes que vous voulez. Cette partie est réellement propre à chaque juridiction, elle interagit avec un droit des successions qui diffère énormément d'un pays à l'autre, et c'est la partie où un professionnel qualifié dans votre propre juridiction n'est pas un conseil optionnel mais l'exigence elle-même.
L'idée structurelle la plus utile est de séparer ce qui existe de la façon d'y accéder. Un inventaire ne contenant aucun secret peut être rangé avec vos autres documents importants, partagé avec la personne qui gère vos affaires, et mis à jour chaque fois que quelque chose change, le tout sans le moindre risque de sécurité.
Le matériel d'accès, qui est la partie dangereuse, peut alors être traité séparément et avec une protection bien plus forte, parce qu'il n'a pas besoin d'être lisible ni modifiable de la même manière. L'inventaire dit à l'exécutant que quelque chose existe et où vit la procédure d'accès ; la procédure d'accès est protégée par le mécanisme que vous avez choisi.
Cette séparation résout aussi un problème pratique que le simple partage de secret ne résout pas. Les avoirs changent avec le temps, les places changent, les portefeuilles sont remplacés, et un plan qui exige de reconstituer un secret chaque fois que quelque chose change ne sera pas maintenu. Un inventaire librement modifiable, pointant vers un mécanisme d'accès qui bouge rarement, le sera.
Le mécanisme classique est de diviser le matériel d'accès en parts, distribuées de sorte qu'un nombre défini d'entre elles réunies puisse le reconstituer et qu'un nombre inférieur ne révèle rien. Divisé en cinq avec trois requises, deux personnes ne peuvent pas s'entendre pour y accéder, et perdre deux parts ne perd pas les avoirs.
Les mathématiques de tout cela sont bien établies et les implémentations sont largement disponibles. La difficulté est entièrement humaine : les porteurs doivent garder leurs parts des années sans les perdre, ne doivent pas en savoir assez pour valoir la peine d'être attaqués individuellement, doivent être retrouvables le moment venu, et doivent être clairement informés de quoi faire sans en savoir assez pour agir trop tôt.
La défaillance la plus courante n'est pas cryptographique mais organisationnelle : des parts distribuées à des gens qui ont déménagé, oublié, jeté leur part pendant un déménagement, ou sont morts avant. Un partage qu'on ne répète jamais est un partage dont vous ne découvrirez jamais l'échec, et la découverte se fait au pire moment possible par les personnes les moins équipées pour y faire face.
Un dispositif multisignature peut servir la même fin plus élégamment, parce qu'il ne reconstitue jamais de secret unique. Des actifs détenus sous un dispositif exigeant deux signatures sur trois peuvent être structurés de sorte que vous en déteniez une, une personne de confiance une autre, et une troisième repose chez un professionnel ou dans un lieu sécurisé.
De votre vivant vous pouvez transiger avec votre propre clé plus une autre, et après votre mort les deux autres peuvent agir ensemble sans vous. Personne ne détient jamais assez seul, aucun secret n'est jamais réassemblé en un objet unique et vulnérable, et le dispositif est visible sur la chaîne plutôt que dépendant d'un document que personne ne trouvera peut-être.
Le coût est la complexité : le mettre en place correctement demande du soin, les participants doivent comprendre leur rôle, et se remettre de la perte d'une part exige une procédure qui doit elle-même être documentée. C'est la structure la plus solide disponible et c'est réellement plus de travail, et elle convient mieux à des avoirs substantiels qu'à des avoirs modestes.
Une troisième famille d'approches conditionne l'accès au temps plutôt qu'à des personnes. Divers mécanismes permettent à un accès de s'ouvrir après une période durant laquelle vous n'avez pas signalé que vous étiez encore là, que ce soit par un service, par un contrat, ou par un notaire détenant l'instruction d'ouvrir un pli scellé après une période de non-contact confirmée.
L'attrait est qu'ils n'exigent aucune confiance continue dans la discrétion d'un tiers. La faiblesse est qu'ils exigent une action continue de votre part, indéfiniment, et tout mécanisme qui échoue si vous oubliez d'appuyer sur un bouton pendant quelques mois a introduit une nouvelle façon pour les choses de mal tourner qui n'existait pas avant.
Là où ils fonctionnent le mieux, c'est en combinaison plutôt que seuls : une condition de temps qui gouverne le moment où un professionnel reçoit instruction d'agir, plutôt qu'une libération de fonds entièrement automatisée. L'étape humaine apporte un jugement qu'un minuteur ne peut pas apporter, en particulier sur la question de savoir si la condition déclenchante est réellement vraie.
Les actifs détenus sur une plateforme plutôt que sous vos propres clés suivent un chemin complètement différent, et il ressemble davantage à un compte financier classique. Il y a une institution, il y a un processus, et la succession d'un titulaire décédé peut généralement faire valoir une réclamation appuyée par les documents que la juridiction exige.
C'est réellement plus simple et c'est l'un des avantages honnêtes de la détention en garde, en particulier pour les gens dont les héritiers n'ont aucun bagage technique. L'arbitrage est l'arbitrage classique de la garde, traité ailleurs, et aucun des deux côtés n'est évidemment le bon pour tout le monde.
Ce que cela veut dire pratiquement, c'est que l'inventaire compte encore plus pour les avoirs en plateforme, parce qu'ils sont récupérables mais seulement si quelqu'un sait qu'ils existent. Un compte dont personne n'a connaissance n'est réclamé par personne, et des avoirs en plateforme que personne ne sait chercher sont aussi effectivement perdus qu'une phrase de récupération brûlée.
Les avoirs en plateforme sont récupérables par un processus. Ils ne le sont pas par un héritier qui n'a jamais su que le compte existait.
L'étape qui sépare les plans qui marchent des plans qui existent est la répétition, et presque personne ne la fait. Prenez la personne qui gérera vos affaires, donnez-lui les instructions telles qu'elles sont écrites, et faites-lui tenter de récupérer un petit avoir sans votre aide. Regardez où elle bloque.
Les résultats sont constamment humiliants. Des instructions qui semblaient complètes supposent un vocabulaire que le lecteur n'a pas, renvoient à un appareil qu'il ne trouve pas, ou exigent une étape que vous faites sans y penser et n'avez jamais écrite. Chacun de ces points est un échec total le jour venu, parce que le jour venu il n'y a plus de vous à qui demander.
La répétition a aussi un bénéfice secondaire qu'on sous-estime : elle force la conversation. Beaucoup de plans échouent parce que la personne censée agir ne savait pas qu'elle avait été désignée, ne l'a pas pris au sérieux, ou n'a pas compris que le délai pouvait compter. Une répétition rend ces trois choses visibles pendant qu'elles sont encore réparables.
Écrivez l'inventaire d'abord, aujourd'hui, sans aucun secret dedans : ce qui existe, à peu près combien, où la procédure d'accès est documentée, et qui contacter. Ce seul document élimine la défaillance la plus courante, à savoir que personne ne sache qu'il y avait quelque chose à chercher, et il ne porte aucun risque puisqu'il ne contient rien d'utilisable.
Choisissez ensuite un mécanisme d'accès proportionné à la taille de ce que vous détenez. Des avoirs modestes ne justifient pas un dispositif multisignature avec des participants professionnels ; des avoirs substantiels ne méritent pas une phrase dans un tiroir. Et parlez ensuite à un professionnel qualifié dans votre propre juridiction pour la couche juridique, parce que le droit des successions est là où le conseil général d'un article cesse d'être utile.
Enfin, posez une date dans le calendrier pour le revoir chaque année. Les avoirs changent, les gens changent, les appareils sont remplacés, et un plan écrit une fois et jamais revu décrit une situation qui a cessé d'être vraie il y a des années. La revue prend vingt minutes et c'est la différence entre un plan et un document.
Rien d'automatique. Il n'y a aucune institution à qui écrire ni compte à réclamer : les clés existent quelque part de trouvable ou les actifs sont définitivement inaccessibles. Une proportion significative des plus anciens actifs est considérée perdue, et une partie relève de détenteurs morts sans rien laisser de trouvable.
Parce qu'il y a deux modes de défaillance qui tirent en sens inverse. Personne ne peut accéder aux clés après votre mort et les avoirs sont perdus ; ou quelqu'un peut y accéder de votre vivant et ils sont volés. Toute solution naïve répare l'un et crée l'autre.
Trois choses : un inventaire de ce qui existe et où, des instructions d'accès écrites pour quelqu'un sans bagage technique, et ce que le droit des successions de votre juridiction exige. La plupart des plans n'ont que le premier, et beaucoup n'ont que le deuxième sous une forme dangereuse.
Pas comme unique plan, parce que cela résout le problème de la mort en créant un problème de vol. De meilleures structures conditionnent l'accès : partager le secret entre plusieurs personnes de sorte qu'un nombre défini puisse agir ensemble, ou un dispositif multisignature où aucune partie ne détient jamais assez.
Le matériel d'accès est divisé en parts de sorte qu'un nombre défini réunies le reconstituent et que moins ne révèlent rien. Divisé en cinq avec trois requises, deux ne peuvent pas s'entendre et perdre deux parts ne perd rien. Les échecs sont organisationnels : les gens déménagent, oublient, ou jettent leur part.
C'est la structure la plus solide parce qu'aucun secret unique n'est jamais réassemblé. Deux signatures sur trois vous laissent transiger de votre vivant avec un tiers, et laissent les deux autres agir ensemble après votre mort. Le coût est une vraie complexité et cela convient mieux à des avoirs substantiels.
Oui, et c'est un avantage honnête de la détention en garde. Il y a une institution et un processus, et une succession peut généralement réclamer avec les documents exigés par la juridiction. Mais un compte que personne ne connaît n'est jamais réclamé, donc l'inventaire compte encore plus.
La répétition. Donnez vos instructions à la personne qui agira et faites-lui récupérer un petit avoir sans votre aide. Des instructions qui semblaient complètes supposent régulièrement un vocabulaire qui lui manque ou une étape que vous faites sans y penser. Chacune est un échec total le jour venu.