Récemment, dans le groupe, on discute encore de savoir si quelqu’un va déménager avant ou après la mise à niveau/maintenance de cette chaîne publique principale, tout le monde surveille les ragots sur la migration, je suis au contraire plus intéressé par “Y croit-on ou pas”. D’autres pensent qu’en regardant le nombre d’étoiles sur GitHub, ou en étant assidu dans les commits, c’est stable ; en réalité, beaucoup de changements clés sont cachés dans une mise à niveau avec multi-signatures, qui signe, y a-t-il une barrière d’entrée, peut-on changer de signataire à la dernière minute, ce sont ces détails qui peuvent vous faire sursauter en pleine nuit.

Moi-même, en lisant un rapport d’audit, je ne fais pas semblant de comprendre : je commence par chercher dans la conclusion les points “non corrigés / acceptation du risque”, puis je vérifie sur GitHub si les modifications ont vraiment été faites. Plus basique : la permission de mise à niveau est-elle signée en simple ou en multi, combien de personnes, leur identité est-elle publique, y a-t-il un timelock (c’est-à-dire un délai de réaction), ces éléments sont plus fiables que la “narration”. En résumé, l’audit est un bonus, la structure multi-signatures est la base… Je regarde et je râle en même temps, on en reste là.