Hier, pendant que j’étudiais GRVT, je suis resté près d’une heure dans la documentation API.
Beaucoup de gens qui étudient des plateformes de trading regardent d’abord la vitesse d’exécution, les frais, et les cryptos prises en charge.
Moi aussi, avant.
Mais après avoir subi quelques pertes, j’ai commencé à regarder d’abord un autre point : les autorisations.
Car je me dis de plus en plus qu’une plateforme est vraiment sûre ou non, ce n’est pas le nombre de promesses qu’elle met en avant, c’est à qui elle confie le « pouvoir ».
GRVT a un détail qui m’a particulièrement marqué.
Ses permissions API ne sont pas directement liées au compte dans son ensemble, mais à la couche du compte de trading, et elles doivent être associées à une adresse Ethereum précise pour prendre effet. Le fabricant propose aussi deux modes : en mode sécurisé, l’utilisateur conserve lui-même la clé privée ; en mode pratique, le navigateur génère la clé, mais la plateforme indique clairement qu’elle ne la conservera pas.
Beaucoup, en lisant ça, pourraient se dire : n’est-ce pas juste une API ?
Mais ce qui m’intéresse, c’est autre chose.
En réalité, elle insiste depuis le début sur une idée : les autorisations peuvent être finement segmentées, mais le contrôle ne doit pas rester flou.
Avant, sur beaucoup de plateformes, une seule API donnait presque toutes les capacités ; si une clé était divulguée, les conséquences pouvaient être très graves.
Et avec un design comme celui de GRVT, au moins, ça m’a montré qu’il y avait eu beaucoup de réflexion sur les frontières des autorisations : séparer la gestion de différentes capacités, au lieu de tout mettre dans le même panier.
Bien sûr, je ne vais pas non plus idéaliser un quelconque design.
L’environnement du navigateur est-il sûr ? L’appareil local est-il infecté ? L’utilisateur a-t-il bien fait une sauvegarde des clés ? Au final, ces risques retombent toujours sur l’utilisateur, et aucune plateforme ne peut jamais tout remplacer.
C’est pourquoi je me dis de plus en plus que, dans l’industrie de la cryptographie, la vraie maturité ne se mesure pas au fait qu’une plateforme fasse tout à la place de l’utilisateur, mais au fait que la plateforme explique suffisamment clairement chaque autorisation, et chaque responsabilité.
Est-ce que ce dispositif de GRVT est la meilleure solution possible ? Seul le temps pourra le dire.
Mais au moins, il m’a amené à reposer une question.
À l’avenir, la vraie concurrence des plateformes de trading ne portera peut-être pas sur les fonctionnalités, mais sur qui comprend le mieux la « notion de permissions ».
@grvt_io #grvt
Beaucoup de gens qui étudient des plateformes de trading regardent d’abord la vitesse d’exécution, les frais, et les cryptos prises en charge.
Moi aussi, avant.
Mais après avoir subi quelques pertes, j’ai commencé à regarder d’abord un autre point : les autorisations.
Car je me dis de plus en plus qu’une plateforme est vraiment sûre ou non, ce n’est pas le nombre de promesses qu’elle met en avant, c’est à qui elle confie le « pouvoir ».
GRVT a un détail qui m’a particulièrement marqué.
Ses permissions API ne sont pas directement liées au compte dans son ensemble, mais à la couche du compte de trading, et elles doivent être associées à une adresse Ethereum précise pour prendre effet. Le fabricant propose aussi deux modes : en mode sécurisé, l’utilisateur conserve lui-même la clé privée ; en mode pratique, le navigateur génère la clé, mais la plateforme indique clairement qu’elle ne la conservera pas.
Beaucoup, en lisant ça, pourraient se dire : n’est-ce pas juste une API ?
Mais ce qui m’intéresse, c’est autre chose.
En réalité, elle insiste depuis le début sur une idée : les autorisations peuvent être finement segmentées, mais le contrôle ne doit pas rester flou.
Avant, sur beaucoup de plateformes, une seule API donnait presque toutes les capacités ; si une clé était divulguée, les conséquences pouvaient être très graves.
Et avec un design comme celui de GRVT, au moins, ça m’a montré qu’il y avait eu beaucoup de réflexion sur les frontières des autorisations : séparer la gestion de différentes capacités, au lieu de tout mettre dans le même panier.
Bien sûr, je ne vais pas non plus idéaliser un quelconque design.
L’environnement du navigateur est-il sûr ? L’appareil local est-il infecté ? L’utilisateur a-t-il bien fait une sauvegarde des clés ? Au final, ces risques retombent toujours sur l’utilisateur, et aucune plateforme ne peut jamais tout remplacer.
C’est pourquoi je me dis de plus en plus que, dans l’industrie de la cryptographie, la vraie maturité ne se mesure pas au fait qu’une plateforme fasse tout à la place de l’utilisateur, mais au fait que la plateforme explique suffisamment clairement chaque autorisation, et chaque responsabilité.
Est-ce que ce dispositif de GRVT est la meilleure solution possible ? Seul le temps pourra le dire.
Mais au moins, il m’a amené à reposer une question.
À l’avenir, la vraie concurrence des plateformes de trading ne portera peut-être pas sur les fonctionnalités, mais sur qui comprend le mieux la « notion de permissions ».
@grvt_io #grvt