xpub - Glossaire Bitcoin

Définition

xpub est le préfixe d'encodage d'une clé étendue publique au format BIP-32, pour les adresses legacy P2PKH (1...). Comme la xprv, elle encode 78 octets, mais contient la clé publique compressée (33 bytes) au lieu de la clé privée. Visuellement, elle commence par xpub... (préfixe binaire 0x0488B21E).

Le pouvoir d'une xpub

À partir d'une xpub seule, on peut :

Dériver toutes les pubkeys enfants non-durcies (m/i/j avec i, j < 2^31).
Calculer toutes les adresses de réception correspondantes.
Scanner la blockchain pour voir les UTXO, le solde, l'historique.
Construire des transactions non-signées (PSBT).

Ce qu'on ne peut PAS faire avec une xpub : signer. C'est ce qui en fait l'outil parfait pour les wallets watch-only.

Variantes par type d'adresse

| Préfixe | Type d'adresse | Exemple BIP | |---|---|---| | xpub | Legacy P2PKH (1...) | BIP-44 | | ypub | Nested SegWit (3...) | BIP-49 | | zpub | Native SegWit (bc1q...) | BIP-84 | | tpub | Testnet | - |

Pour les wallets Taproot, on utilise généralement des descriptors plutôt qu'un préfixe spécifique.

Cas d'usage

Comptabilité d'entreprise : un comptable surveille les flux sans pouvoir dépenser.
Cold storage : la xpub est sur votre mobile, la xprv sur un hardware wallet au coffre.
Multisig watch-only : chaque cosignataire stocke les xpubs des autres pour vérifier l'historique.
Audit fiscal : générer toutes les adresses pour calculer le coût d'acquisition.

Dangers liés à la confidentialité

Une xpub n'expose pas les fonds, mais elle détruit la confidentialité de manière irréversible. Quiconque possède votre xpub :

Voit chaque satoshi reçu et dépensé, passé et futur.
Peut clusteriser vos UTXO et identifier vos contreparties.
Peut potentiellement vous géolocaliser ou vous profiler.

Ne JAMAIS :

Publier sa xpub sur les réseaux sociaux.
L'envoyer à un service tiers (exchange, marchand) sans réflexion.
L'utiliser pour plusieurs comptes liés à votre identité (préférez un wallet par contexte).

À retenir

La xpub est un outil puissant pour la consultation et l'audit, mais sa confidentialité est précieuse. Traitez-la comme une donnée sensible : à protéger, même si elle ne permet pas le vol direct.