Hier soir, en traduisant des documents de projet, mes yeux se sont mis à piquer, et une multitude de commits sur GitHub me donnaient l’impression de lire le journal intime de quelqu’un : certains étaient plus fréquents mais ne comportaient que de petites corrections, d’autres n’avaient pas bougé depuis des mois mais faisaient soudainement une grosse mise à jour… Ajoutez à cela un rapport d’audit, écrit de manière très soignée sur le papier, mais dans ma tête je ne cessais de me demander « Est-ce que quelqu’un peut vraiment faire ces corrections à temps ? ». Récemment, j’ai aussi entendu dire qu’une région allait augmenter ses taxes, et que la tendance à la conformité fluctue, ce qui rend mes attentes psychologiques concernant les flux d’entrée et de sortie de fonds plus sensibles ; plus je suis sensible, plus je veux comprendre ce qui rend une chose « fiable ».

Ma méthode simple pour moi-même est : ne pas d’abord regarder à quel point c’est sécurisé selon eux, mais d’abord voir « qui peut mettre en pause en cas de problème ». La mise à jour avec multi-signature a-t-elle des membres publics / un seuil, y a-t-il un timelock (pour donner le temps au marché de réagir), les permissions d’urgence peuvent-elles être modifiées en un clic ; le rapport d’audit doit surtout indiquer « corrigé / non corrigé / acceptation du risque » en trois parties, en particulier si la raison du non-correctif est vague ; sur GitHub, je ne cherche pas à comprendre le code, au moins je regarde le rythme des releases, si les issues ont des réponses sérieuses, si les modifications clés ont laissé des traces de discussion. En gros, pour un débutant, la crédibilité se résume à « qui » et « comment » ; ne vous contentez pas de belles paroles, prenez votre temps, de toute façon je ne suis pas pressé par cette impulsion.