Comment faire tourner un nœud Bitcoin complet sur un VPS

Un nœud complet est la seule façon d'utiliser Bitcoin sans avoir à demander à quelqu'un d'autre où se trouve la vérité. Toute autre option — un explorateur de blocs, un portefeuille léger qui s'adresse à un serveur public, un solde sur un exchange — signifie faire confiance à un tiers pour votre historique, et lui céder votre confidentialité au passage. Bitcoin Core lui-même s'installe en une dizaine de minutes. Ce qui détermine vraiment l'utilité de votre nœud, c'est la machine qui le fait tourner : la taille du disque que vous lui donnez, si l'upload est limité en volume ou non, et ce que l'hébergeur peut voir.

Ce que fait un nœud complet — et ce qu'il ne fait pas

Un nœud complet télécharge chaque bloc, vérifie lui-même chaque signature et chaque règle de consensus, et conserve sa propre copie de l'ensemble actuel des pièces dépensables. C'est un vérificateur. Ce n'est pas un mineur, et à lui seul, ce n'est pas non plus un portefeuille.

• Il valide de manière indépendante — aucun explorateur, aucun exchange et aucun serveur de portefeuille léger n'a à vous dire ce qui est valide ou quel est votre solde.
• Il vous évite de faire fuiter vos adresses vers le serveur d'un inconnu à chaque synchronisation de portefeuille, ce qui est la plus grande fuite de confidentialité que subissent la plupart des utilisateurs de Bitcoin.
• Il relaie les blocs et les transactions, ce qui est la partie qui profite au réseau plutôt qu'à vous seul.
• Il ne rapporte rien, ne vote sur rien, et ne rend pas vos pièces plus sûres si vos clés sont déjà mal gérées.

Archivé, élagué ou indexé : trois empreintes disque très différentes

Cette seule décision détermine le plan qu'il vous faut, prenez-la donc avant de commander quoi que ce soit. Les trois modes vérifient la chaîne exactement de la même manière — la différence tient uniquement à ce qui reste sur le disque une fois la vérification terminée.

• Élagué — Core télécharge et vérifie tout, puis se débarrasse des anciens fichiers de blocs et ne garde que les plus récents. Avec prune=5000, les données de blocs restent autour de 5 GB ; ajoutez l'ensemble UTXO et le système d'exploitation, et vous atteignez près de 25 GB au total.
• Archivé — tous les blocs conservés pour toujours. Les données de blocs dépassent déjà 750 GB aujourd'hui et croissent d'environ 7 GB par mois ; ajoutez l'ensemble UTXO par-dessus. Il vous le faut pour servir des blocs historiques à d'autres pairs, ou pour réindexer plus tard sans retélécharger la chaîne.
• Indexé — l'archivage plus txindex=1, qui permet de retrouver n'importe quelle transaction par son ID et qui est ce qu'attendent les explorateurs de blocs et certains logiciels serveur. Cela ajoute des dizaines de gigaoctets, et ne peut pas se combiner avec l'élagage.

Choisir un VPS pour un nœud Bitcoin : disque, RAM et un port illimité

Bitcoin Core est patient avec le CPU et exigeant avec le disque. Ce sont les lectures et écritures aléatoires sur la base UTXO qui rendent une synchronisation rapide ou pénible, c'est pourquoi le NVMe compte ici bien plus que le nombre de cœurs. Chaque plan de la gamme VPS offshore embarque du NVMe Gen4 en RAID-10 et une bande passante illimitée, si bien que le vrai choix porte sur la capacité.

• Nœud élagué : le VPS-4 à $7.49/mo — 2 vCPU EPYC, 4 GB DDR5 ECC et 60 GB de NVMe, avec une marge confortable pour prune=5000 plus les journaux. Le VPS-2 à $3.99 fonctionne aussi si vous élaguez plus fort.
• Nœud élagué qui synchronise vite : le VPS-8 à $13.99/mo — 4 vCPU et 8 GB permettent de donner à Core plusieurs gigaoctets de dbcache, le levier le plus puissant sur la durée de synchronisation.
• Nœud archivé : le VPS-64 à $89.99/mo est le seul palier VPS dont les 800 GB de NVMe suffisent tout juste à une chaîne non élaguée — et, à la taille actuelle de la chaîne, cela laisse à peine un an de marge.

Pour un nœud archivé ou indexé, faites le calcul honnêtement plutôt que d'acheter le plus gros VPS par réflexe : un serveur dédié démarre à $64/mo avec 64 GB de mémoire et 2 × 1 TB de NVMe, donc à la fois moins cher et bien plus spacieux que le plus grand palier VPS. Si vous comptez garder la chaîne pendant des années, ou empiler à côté un serveur Electrum et un site hébergé sans KYC, commencez là plutôt que de mettre à niveau deux fois.

Étape par étape : d'un rechargement en crypto à un nœud synchronisé

1. 01Créez un compte avec un email jetableUn email et un mot de passe. Aucun nom, téléphone ou pièce d'identité, si bien que rien de notre côté ne relie le nœud à vous.
2. 02Rechargez votre solde en cryptoAlimentez un solde prépayé en Bitcoin, Monero ou l'une des 8 cryptomonnaies proposées. Il n'expire jamais et n'est jamais gelé.
3. 03Déployez le VPSChoisissez un plan, une région et une image Debian ou Ubuntu. L'accès root est prêt en une minute environ, en médiane.
4. 04Installez Bitcoin Core et vérifiez le téléchargementRécupérez la version depuis le projet Bitcoin Core, puis vérifiez les signatures avant de la décompresser. Sauter cette étape, c'est exactement ainsi qu'on finit par faire tourner le binaire de quelqu'un d'autre.
5. 05Faites-le tourner sous son propre utilisateur, via systemdUn utilisateur bitcoin dédié, un répertoire de données qui lui appartient, et un fichier unit pour que le nœud revienne tout seul après un reboot.
6. 06Rédigez bitcoin.conf, démarrez-le et surveillez le journalRéglez votre niveau de prune, le dbcache et les options réseau, démarrez le service, et suivez le journal jusqu'à ce que la progression de la vérification atteigne 1.

Les lignes de bitcoin.conf qui comptent vraiment

Core est livré avec des réglages par défaut sensés, et une bonne configuration tient généralement en six ou sept lignes. Voici celles qui méritent d'être comprises plutôt que copiées depuis un forum.

• dbcache — la mémoire allouée à la base UTXO, 450 MB par défaut. La monter à quelques milliers pour la synchronisation initiale est l'accélération la plus simple à obtenir, et vous pouvez la rabaisser ensuite.
• prune — un plafond de taille en MB sur le stockage des blocs, minimum 550. Passer d'un mode élagué à un mode archivé plus tard signifie retélécharger la chaîne, décidez donc avant le premier démarrage.
• txindex=1 — construit un index complet des transactions. Ne l'activez que si un outil que vous faites réellement tourner en a besoin ; l'ajouter plus tard force un réindexage.
• listen=1 avec le port 8333 ouvert — fait de vous un nœud à l'écoute que les autres pairs peuvent joindre. C'est la différence entre utiliser le réseau et y contribuer.
• maxuploadtarget — un plafond quotidien souple sur le trafic sortant, qu'il vaut la peine de régler sur tout hébergeur qui facture le transfert au volume.
• blocksonly=1 — arrête de relayer les transactions isolées. Cela réduit fortement la bande passante utilisée, au prix d'une mempool utile et d'une contribution à la propagation.

Téléchargement initial de la chaîne : ce qui le ralentit vraiment

La première synchronisation est la seule partie vraiment lourde du travail. Core rejoue toute la chaîne, et même s'il saute par défaut la vérification des scripts en dessous d'un bloc récent codé en dur, il reconstruit malgré tout l'intégralité de l'ensemble UTXO depuis zéro — le travail est donc dominé par les entrées-sorties disque aléatoires et le hachage, bien plus que par votre connexion. Sur du NVMe Gen4 avec un dbcache généreux, une synchronisation complète se termine normalement en bien moins d'une journée ; le même travail sur un disque mécanique peut prendre une semaine. Donnez-lui plus de mémoire plutôt que plus de cœurs, et résistez à l'envie de le redémarrer par impatience : la progression est écrite périodiquement sur le disque, mais un redémarrage en plein flush vous coûte le cache que vous étiez en train de payer.

Faire tourner le nœud via Tor

Un nœud à l'écoute s'annonce aux autres pairs. Sur une adresse clearnet, cette annonce est publique et pointe vers votre serveur. Core dispose d'un support Tor de premier ordre : donnez-lui un proxy SOCKS Tor local et l'accès au port de contrôle de Tor, et il publiera son propre service onion et acceptera des connexions entrantes à cette adresse. Ajoutez onlynet=onion et il ne parlera plus du tout au clearnet.

C'est un travail différent de faire tourner un relais Tor, qui transporte le trafic d'autrui et est délibérément public. Ici, Tor n'est qu'un moyen pour votre propre nœud de joindre ses pairs, et le compromis est modeste : les nœuds onion-only synchronisent un peu plus lentement et puisent dans un bassin de pairs plus restreint, ce qui est rarement un problème pour une machine que vous laissez tourner en continu.

Bande passante : le coût que personne ne budgète

Un nœud à l'écoute envoie bien plus qu'il ne reçoit. Chaque pair effectuant sa propre synchronisation initiale peut vous tirer des centaines de gigaoctets, et un nœud archivé bien connecté servira volontiers plusieurs téraoctets par mois si vous le laissez faire. Sur un hébergeur facturé au volume, c'est une facture de dépassement — exactement le profil de trafic que les offres d'hébergement « illimité » sont rédigées pour exclure. Le transfert illimité est standard sur toute la gamme ici, et si vous voulez essaimer la chaîne activement pour d'autres, la gamme 10 Gbps Unmetered à partir de $34.99/mo offre un port dédié pour cela. Si vous préférez rester modeste, plafonnez-le délibérément avec maxuploadtarget plutôt que de laisser faire le hasard.

Connecter des portefeuilles, un serveur Electrum ou BTCPay

Un nœud seul ne représente que la moitié de la mise en place — l'intérêt est de faire parler votre propre logiciel avec lui plutôt qu'avec celui d'un inconnu. Des portefeuilles comme Sparrow et Specter se connectent directement au RPC de Core via un tunnel. Les portefeuilles du protocole Electrum ont besoin d'un serveur intermédiaire : electrs ou Fulcrum construisent leur propre index à partir des fichiers de blocs bruts, ce qui est l'une des raisons concrètes de rester non élagué. Et si vous voulez encaisser vous-même des paiements, faire tourner BTCPay Server contre votre nœud élimine entièrement le prestataire de paiement — la même logique d'auto-hébergement qu'héberger un site web sans KYC.

Une règle vaut quelle que soit la pile logicielle : le nœud vérifie, et vos clés vivent ailleurs. Utilisez un portefeuille matériel ou un signataire hors ligne, et laissez la machine louée ne faire rien d'autre que de la validation. Une machine que vous ne possédez pas physiquement n'est pas l'endroit où doivent séjourner des fonds significatifs.

Le compromis honnête sur la confidentialité d'un nœud que vous ne possédez pas

Un nœud sur un VPS n'est pas identique à un nœud sous votre bureau, et il vaut la peine d'être précis sur pourquoi. Il supprime la fuite la plus importante et la plus courante : interroger des explorateurs publics et des serveurs Electrum tiers qui enregistrent exactement les adresses que vous avez demandées. Ce qu'il ne peut pas supprimer, c'est l'hébergeur. Quiconque a un accès physique à une machine peut en principe lire son disque et sa mémoire, et le chiffrement intégral du disque sur un serveur distant vous protège contre un disque volé, pas contre un disque en cours de fonctionnement.

La question utile n'est donc pas « l'hébergeur peut-il le voir » mais « l'hébergeur sait-il qui je suis ». L'hébergement sans KYC répond précisément à cela : un email et un mot de passe, aucune vérification, rien à faire fuiter ou à transmettre sur assignation. Payer depuis un solde en crypto élimine la banque. Jusqu'où pousser le volet paiement est une question de modèle de menace — Bitcoin est pseudonyme, pas anonyme, si bien que des pièces retracées jusqu'à un exchange vérifié mènent quand même quelque part, tandis que se recharger en Monero comble cet écart au niveau du protocole. Le même raisonnement s'applique à faire tourner un nœud Monero, où c'est le lien entre le portefeuille et le nœud que vous protégez.

Les erreurs qui laissent un nœud bloqué, inactif ou exposé

• Le disque qui se remplit en pleine synchronisation parce que l'élagage a été décidé après coup — réglez-le avant le premier démarrage, pas à mi-chemin.
• Le port 8333 laissé fermé au pare-feu, si bien que le nœud ne fait que des connexions sortantes et ne sert jamais le moindre pair.
• Le RPC lié à 0.0.0.0 « juste pour tester », ce qui, sur une IP publique, est découvert en quelques heures.
• txindex activé par réflexe sur un petit disque, avant de découvrir qu'il faut un réindexage complet pour le retirer.
• Le nœud lancé en root depuis un répertoire personnel sans fichier unit systemd, si bien qu'un simple reboot met tranquillement fin à l'expérience.

Aucune de ces défaillances n'est exotique. Ce sont celles qui surviennent quand la machine est choisie sur le seul critère du prix et que les détails sont remis à plus tard. Choisissez le disque pour le mode que vous voulez vraiment, gardez le port pair ouvert et le RPC fermé, et un nœud Bitcoin devient l'une des choses les moins exigeantes que vous puissiez laisser tourner pendant des années.