Comment nous révoquons une clé de signature d'addon

Chaque addon de Sekervia est signé (Ed25519). L'application refuse tout addon dont la signature ne correspond pas à une clé qu'elle connaît. Mais signer ne suffit pas : ce qui compte, c'est ce qui se passe le jour où une clé est perdue ou compromise, et en combien de temps.

Notre engagement

Sous 24 heures après qu'un problème est constaté, la clé concernée est retirée de Sekervia.

Sous 72 heures, une version corrigée et signée part par la mise à jour automatique.

Une clé retirée est refusée définitivement, même si une ancienne copie de l'application ou un paquet la présente encore : Sekervia tient une liste des clés retirées et la consulte avant toute autre vérification.

Ce que nous faisons, étape par étape

1. Constater — un contrôle automatique vérifie, à chaque version, que chaque addon livré est signé par une clé en vigueur. Une rotation mal faite le fait échouer.

2. Créer une nouvelle clé — sa partie privée est mise à l'abri immédiatement, avant toute signature.

3. Remplacer, pas ajouter — l'ancienne clé sort de l'application et entre dans la liste des clés retirées.

4. Re-signer chaque addon officiel avec la nouvelle clé.

5. Prouver — les tests vérifient qu'aucun addon ne porte une clé retirée, et qu'une clé retirée n'est jamais remise en service.

6. Distribuer la version corrigée par la mise à jour signée.

7. Informer — les notes de version nomment la clé retirée, la date et la raison. Un addon encore signé avec elle ne se charge plus : c'est voulu.

Ce qui nous est déjà arrivé

Le 22 septembre 2026, en voulant re-signer un addon, nous avons constaté que la partie privée d'une de nos clés, créée le 4 septembre, avait été perdue : elle n'avait jamais été mise à l'abri. Une nouvelle clé a été mise en service, les addons re-signés, et l'ancienne clé retirée dans les minutes qui ont suivi. Aucun addon n'a été signé par un tiers.

Mais la perte n'a été vue que 18 jours après les faits, parce que rien ne vérifiait que la clé existait encore. C'est pourquoi l'étape 2 impose désormais de mettre la clé à l'abri avant toute signature.