Je me rappelle toujours d’un mot : arrêter.

Arrêter de suivre les récits, arrêter de poursuivre les tendances, surtout maintenant que la modularité et la couche DA sont expliquées de manière très enthousiasmante pour les développeurs, alors que les utilisateurs ordinaires sont presque tous perdus… Moi aussi, donc je dois m’arrêter pour regarder où se trouve vraiment la “crédibilité”.

Je commence par regarder le projet sur GitHub, sans chercher à comprendre le code, au moins en regardant la fréquence des commits, si les contributeurs principaux ne sont qu’un ou deux, si les issues/PR ont des réponses ; si ce ne sont que des coquilles vides ou des projets inactifs depuis longtemps, je m’arrête d’abord.
Les rapports d’audit ne doivent pas seulement afficher “audité”, l’essentiel est de vérifier si la liste des problèmes comporte des risques élevés, s’il y a des étapes de reproduction, si l’équipe a corrigé ou non, si l’auditeur a clairement indiqué la portée (beaucoup ne vérifient qu’une petite partie).
Les mises à jour multi-signatures sont encore plus cruciales : quelques clés, seuil de signature de plusieurs/plusieurs, si le signataire est indépendant, s’il y a un timelock (délai avant activation), une mise à jour sans délai revient à dire “les règles peuvent être modifiées à tout moment”.
De toute façon, je préfère manquer quelque chose que de tomber dans un piège en dehors de cette glissade.