Il y a deux jours, je voulais tester un nouveau protocole, j'ai fouillé toute la journée sur GitHub, les commits étaient assez fréquents, mais mon obsession pour la sécurité me pousse toujours à vérifier d'abord « qui fusionne le code », s'il y a un ou deux mainteneurs clés qui ont disparu depuis longtemps… Je ne me contente pas de regarder la couverture du rapport d'audit, je regarde aussi la page des conclusions : quelles sont la portée couverte, s'il y a des vulnérabilités critiques non corrigées, si les corrections sont « confirmées » ou si c'est le développeur qui dit avoir corrigé. La mise à jour de la multi-signature est encore plus cruciale, je vais vérifier le nombre de signatures et le seuil, et idéalement voir si les signataires sont dispersés, s'il y a eu des remplacements temporaires. J'ai déjà rencontré une situation comme ça, dans le groupe du projet, on pressait très fort, et de leur côté, ils parlaient de baisse des taux, le dollar fluctuant, les actifs risqués aussi… J'avais aussi envie d'agir… Mais en regardant, je vois que la multi-signature vient juste d'être mise à jour, et la liste des membres n'est pas encore publique, tant pis, si je ne comprends pas, je ne touche pas, je rate peut-être quelque chose, mais au moins je ne me lèverai pas en pleurant au milieu de la nuit.