Je regarde maintenant le projet « fiable ou non » et je ne regarde pas trop les chandeliers en premier, je vais d’abord jeter un œil sur GitHub. Ce n’est pas pour faire semblant de comprendre le code, mais pour voir si récemment quelqu’un a bougé, modifié quelque chose, s’il y a des gens qui ont soulevé des problèmes de sécurité dans les issues et si ces problèmes ont été ignorés… Ce genre de dépôt « silencieux comme s’il n’y avait pas de lumière allumée », cela me met un peu mal à l’aise.

Les rapports d’audit sont aussi la même chose, en gros, il s’agit de voir s’ils osent écrire leurs défauts, si ces défauts ont été corrigés, quand ils ont été corrigés, et non pas commencer par des compliments comme « aucun risque majeur détecté ». Et pour la mise à niveau de la multi-signature, ça paraît très professionnel, mais en réalité je ne regarde que trois choses : combien de personnes signent, si un groupe signe pour lui-même, et si on peut changer le contrat d’un clic. Récemment, il y a une chaîne principale qui doit faire une mise à jour ou une maintenance, tout le monde dans le groupe devine si l’écosystème va déménager, mais je pense qu’il vaut mieux d’abord regarder ces « petits caractères » du « sous-jacent », cela rassure plus que de deviner un transfert… De toute façon, ce genre de débutant comme moi ne peut que se sauver comme ça.