Registre des risques

Ce registre recense les risques techniques, juridiques et d'image du projet, avec leur cotation avant et après les mesures en place. Il reprend le registre tenu par l'équipe le 11 novembre 2026, corrigé là où le code contredit les mesures annoncées, et complété par les risques relevés lors de la rédaction de cette documentation. Les menaces sous-jacentes sont analysées dans le modèle de menaces.

#Méthode

Les risques ajoutés dans cette version sont marqués « nouveau ». Leur cotation est une proposition à valider par l'équipe et la DSI, comme celle des autres lignes.

#Smart contract

#Portefeuilles et clés

Corrections apportées :

• K1. Le registre initial indiquait des « rôles limités (pas d'administration) » pour l'opérateur. Les scripts séparent désormais les rôles (smart-contract/scripts/lib/roles.ts) : sur Sepolia, l'opérateur n'a que OPERATOR_ROLE, PAUSER_ROLE (sauf PAUSER_ADDRESS distinct) et MINTER_ROLE, et le déployeur renonce à ses rôles. En local, l'opérateur garde aussi DEFAULT_ADMIN_ROLE, sauf avec LOCAL_STRICT_ROLES=true, car le reversement de commission du backend appelle setTreasury, réservé à ce rôle, dès que l'adresse demandée diffère de la trésorerie enregistrée. La limitation des rôles dépend donc du déploiement (voir Clés et garde des portefeuilles). La probabilité résiduelle reste à 1, mais l'impact résiduel n'est réellement de 3 que si l'opérateur ne détient pas DEFAULT_ADMIN_ROLE.
• K3. Le registre initial renvoyait aux runbooks pour la sauvegarde du secret. Il n'existe en outre aucun outil de re-chiffrement : une rotation de la clé a le même effet qu'une perte. L'impact résiduel est relevé de 2 à 3.

#Plateforme et exploitation

Corrections apportées :

• P4. Les clients web et mobile n'envoient pas l'en-tête Idempotency-Key : la protection HTTP ne joue pas pour eux. Les deux autres mesures restent effectives. L'impact résiduel passe de 1 à 2.
• P5. La 2FA par email n'ajoute pas de facteur à la connexion par code email (voir Authentification). Le code TOTP, lui, ne remplace plus le premier facteur : il n'est accepté qu'avec le loginTicket délivré après le mot de passe ou le code email, ou avec une session du même compte. La probabilité résiduelle reste à 2 tant que la 2FA par email est permise aux administrateurs.

#Juridique, éthique et image

Correction apportée :

• J2. La déclaration de majorité est remplacée, pour jouer, par une vérification de la pièce d'identité. La probabilité résiduelle baisse, sans tomber à zéro : la pièce est jugée sur photo, sans contrôle de correspondance avec la personne, et un achat direct sur le contrat échappe au contrôle.
• J3. L'anonymisation laisse payerWallet et transactionHash dans la table Ticket, ce qui maintient en base le lien entre l'identifiant du compte et l'ancienne adresse (voir Blockchain et données personnelles). La cotation résiduelle reste faible tant que l'email est supprimé, mais la mesure « effacement du lien entre compte et adresse » du registre initial est incomplète.

#Risques à traiter en priorité

Les risques résiduels SC1, SC2 et SC6 (criticité 4) et J1 (criticité 4) sont acceptés pour une démonstration sur réseau de test. Ils deviendraient bloquants pour une exploitation avec des fonds réels, tout comme SC8.

#Suivi

Le registre est revu :

• à chaque nouvelle version du contrat ;
• avant chaque déploiement sur Sepolia ;
• après tout incident, selon le plan de réponse aux incidents ;
• quand une ligne de la page Points à valider reçoit une réponse.