{"id":530,"date":"2026-09-09T22:35:09","date_gmt":"2026-09-09T22:35:09","guid":{"rendered":"https:\/\/hoge.gg\/fr\/faux-audits-crypto-label-securite-arnaque-2026\/"},"modified":"2026-09-09T22:35:09","modified_gmt":"2026-09-09T22:35:09","slug":"faux-audits-crypto-label-securite-arnaque-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/faux-audits-crypto-label-securite-arnaque-2026\/","title":{"rendered":"Faux audits crypto : l’arnaque du label s\u00e9curit\u00e9 en 2026"},"content":{"rendered":"

\u00ab Audit\u00e9 par un cabinet de renom. \u00bb En 2026, cette formule s’affiche sur la page d’accueil de presque chaque nouveau protocole, chaque memecoin et chaque plateforme de pr\u00eat. Elle rassure, elle fait vendre, et elle est devenue l’un des objets les plus falsifi\u00e9s de tout l’\u00e9cosyst\u00e8me. D’apr\u00e8s le rapport 2026 de Chainalysis sur la criminalit\u00e9 crypto<\/a>, les arnaques par usurpation (se faire passer pour une marque, une institution ou un service de confiance) ont bondi de 1 400 % sur un an, sur un total d’environ 17 milliards de dollars (pr\u00e8s de 15 milliards d’euros) soutir\u00e9s aux victimes d’escroqueries en 2025. Le paiement moyen d’une victime est pass\u00e9 d’environ 782 \u00e0 2 764 dollars en un an, signe d’un basculement vers des cibles moins nombreuses mais bien plus lucratives. Le label \u00ab audit\u00e9 \u00bb appartient \u00e0 la m\u00eame famille de signaux : facile \u00e0 copier, difficile \u00e0 v\u00e9rifier, et presque jamais remis en cause par ceux qu’il rassure.<\/p>

En 2026, \u00ab audit\u00e9 \u00bb est devenu un argument marketing<\/h2>

Un audit de smart contract est un service : une \u00e9quipe d’ing\u00e9nieurs relit un code pr\u00e9cis, dans un p\u00e9rim\u00e8tre d\u00e9fini, pendant un temps born\u00e9, puis publie un rapport qui d\u00e9taille ce qu’elle a trouv\u00e9 et, tout aussi important, ce qu’elle n’a pas regard\u00e9. Le badge \u00ab audit\u00e9 par X \u00bb, lui, est un actif marketing. Les deux ne disent pas la m\u00eame chose. Le rapport parle d’un instant et d’un p\u00e9rim\u00e8tre ; le badge, une fois coll\u00e9 sur un site, sugg\u00e8re une qualit\u00e9 permanente et globale que personne n’a jamais promise.<\/p>

Ce glissement n’a rien d’anodin. Il transforme un document technique, nuanc\u00e9 et dat\u00e9, en un tampon binaire : audit\u00e9 ou pas. Or la vraie question n’est jamais \u00ab est-ce audit\u00e9 ? \u00bb mais \u00ab qu’a couvert l’audit, sur quelle version du code, et qu’en a fait l’\u00e9quipe ensuite ? \u00bb. La th\u00e8se que HOGE Wire r\u00e9p\u00e8te depuis des mois tient en une phrase : un audit est n\u00e9cessaire, mais tr\u00e8s loin d’\u00eatre suffisant. Le probl\u00e8me propre \u00e0 2026, c’est que le march\u00e9 a appris \u00e0 vendre le tampon sans forc\u00e9ment payer le travail qui va derri\u00e8re. Pour comprendre le pi\u00e8ge, il faut d’abord accepter qu’il existe trois fa\u00e7ons tr\u00e8s diff\u00e9rentes de mentir avec un audit.<\/p>

Trois fa\u00e7ons de mentir avec un audit<\/h2>

Toutes les tromperies autour d’un audit ne se valent pas. On peut les ranger en trois cat\u00e9gories, de la plus grossi\u00e8re \u00e0 la plus subtile. La premi\u00e8re est le faux pur : aucun audit n’a eu lieu, le rapport et le logo sont fabriqu\u00e9s de toutes pi\u00e8ces. La deuxi\u00e8me est le vrai d\u00e9tourn\u00e9 : un audit a bien exist\u00e9, mais il ne couvre pas ce que le projet fait croire (mauvaise version, mauvais p\u00e9rim\u00e8tre, mauvaise adresse de contrat). La troisi\u00e8me est la plus honn\u00eate, et de loin la plus fr\u00e9quente : un vrai audit, s\u00e9rieux, sur le bon code, suivi malgr\u00e9 tout d’un piratage, parce qu’un audit ne couvre presque jamais l’ensemble du risque. Les trois aboutissent au m\u00eame r\u00e9sultat pour l’utilisateur (des fonds perdus), mais elles n’appellent pas les m\u00eames parades.<\/p>

Type<\/th>Ce que le projet affiche<\/th>Ce qui est r\u00e9ellement vrai<\/th>Cas d’\u00e9cole<\/th><\/tr><\/thead>
Le faux pur<\/td>Un badge et un PDF \u00ab sign\u00e9s \u00bb par un cabinet connu<\/td>Aucun audit n’a eu lieu ; logo et rapport fabriqu\u00e9s<\/td>Faux rapports au logo CertiK ou PeckShield, comptes pirat\u00e9s<\/td><\/tr>
Le vrai d\u00e9tourn\u00e9<\/td>\u00ab Audit\u00e9 par X \u00bb, rapport authentique \u00e0 l’appui<\/td>L’audit existe mais ne couvre pas le code d\u00e9ploy\u00e9 (version, p\u00e9rim\u00e8tre ou adresse diff\u00e9rents)<\/td>Swaprum : contrat audit\u00e9 remplac\u00e9 par du code malveillant<\/td><\/tr>
Le vrai insuffisant<\/td>Un audit s\u00e9rieux, sans faille critique signal\u00e9e<\/td>L’audit est honn\u00eate mais ne couvre ni les cl\u00e9s, ni l’infrastructure, ni l’\u00e9conomie du protocole<\/td>Balancer, Cetus, et la forme des pertes de 2026<\/td><\/tr><\/tbody><\/table><\/figure>

Le faux pur : logos vol\u00e9s, faux PDF, comptes pirat\u00e9s<\/h2>

La forme la plus brutale ne demande aucune comp\u00e9tence technique. Un projet copie le logo d’un cabinet connu, g\u00e9n\u00e8re un PDF \u00e0 son en-t\u00eate, et affiche un badge cliquable qui ne m\u00e8ne nulle part de v\u00e9rifiable. CertiK, la marque la plus visible du secteur, consacre une page enti\u00e8re \u00e0 ce ph\u00e9nom\u00e8ne et rappelle qu’elle doit r\u00e9guli\u00e8rement d\u00e9mentir des audits qu’elle n’a jamais r\u00e9alis\u00e9s, ses logos \u00e9tant appos\u00e9s sur des sites frauduleux (voir la mise en garde de CertiK sur l’usurpation de sa marque<\/a>). Le calcul des escrocs est simple : un badge co\u00fbte quelques minutes de retouche graphique, et il exploite un r\u00e9flexe universel, on regarde le tampon, pas le rapport.<\/p>

L’usurpation ne s’arr\u00eate pas au logo. Dans un cas rest\u00e9 c\u00e9l\u00e8bre, le compte X officiel de CertiK lui-m\u00eame a \u00e9t\u00e9 pirat\u00e9 : un attaquant se faisant passer pour un journaliste a obtenu des identifiants, puis a publi\u00e9 une fausse alerte de vuln\u00e9rabilit\u00e9 visant Uniswap V3, renvoyant les internautes vers un faux site Revoke.cash con\u00e7u pour vider les portefeuilles. Le lien a \u00e9t\u00e9 retir\u00e9 en quatorze minutes et Uniswap n’\u00e9tait pas concern\u00e9, mais l’\u00e9pisode donne le vertige : m\u00eame le m\u00e9gaphone de l’auditeur peut \u00eatre retourn\u00e9 contre le public (r\u00e9cit chez BleepingComputer<\/a>). Quand la source de confiance elle-m\u00eame peut \u00eatre d\u00e9tourn\u00e9e, se fier au canal plut\u00f4t qu’\u00e0 la v\u00e9rification est une erreur de m\u00e9thode.<\/p>

Cette cat\u00e9gorie prosp\u00e8re parce qu’elle ne co\u00fbte presque rien \u00e0 produire et qu’elle surfe sur la vague plus large de l’usurpation. La parade est pourtant \u00e9l\u00e9mentaire, et on y revient plus bas : ne jamais faire confiance \u00e0 un document h\u00e9berg\u00e9 par le projet lui-m\u00eame.<\/p>

Ce march\u00e9 du faux s’industrialise. G\u00e9n\u00e9rer un rapport cr\u00e9dible, avec mise en page, niveaux de s\u00e9v\u00e9rit\u00e9 et pseudo-recommandations, ne demande plus qu’une poign\u00e9e de minutes \u00e0 un mod\u00e8le de langage, et les outils d’IA rendent ces contrefa\u00e7ons \u00e0 la fois plus rapides \u00e0 produire et, selon Chainalysis, nettement plus rentables. La m\u00e9canique type est le honeypot : un token affiche un audit rassurant, autorise les achats, puis bloque les ventes via une fonction cach\u00e9e ou une liste noire modifiable. Le badge sert alors d’app\u00e2t, pas de garantie ; il joue exactement le r\u00f4le que la culture du \u00ab coche la case audit \u00bb lui a assign\u00e9, rassurer assez vite pour que personne ne lise le contrat.<\/p>

Le vrai d\u00e9tourn\u00e9 : Swaprum et le code chang\u00e9 apr\u00e8s l’audit<\/h2>

La cat\u00e9gorie interm\u00e9diaire est plus retorse, car le rapport, lui, est authentique. Le cas d’\u00e9cole est Swaprum, un DEX d\u00e9ploy\u00e9 sur Arbitrum qui arborait fi\u00e8rement un badge \u00ab audit\u00e9 par CertiK \u00bb. En mai 2023, l’\u00e9quipe a disparu avec environ 3 millions de dollars (pr\u00e8s de 2,7 millions d’euros), soit \u00e0 peu pr\u00e8s 1 628 ETH (voir Cointelegraph<\/a>). Le d\u00e9tail qui change tout : d’apr\u00e8s la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 PeckShield, les fondateurs avaient remplac\u00e9 le contrat MasterChef audit\u00e9 par un contrat malveillant non audit\u00e9, ajoutant une porte d\u00e9rob\u00e9e pour siphonner la liquidit\u00e9 (analyse relay\u00e9e par Decrypt<\/a>). Le badge \u00e9tait vrai ; le code d\u00e9ploy\u00e9 ne l’\u00e9tait plus.<\/p>

Interrog\u00e9, CertiK a r\u00e9sum\u00e9 la limite de son m\u00e9tier sans d\u00e9tour : \u00ab En tant qu’auditeur, nous ne pouvons pas forcer les projets \u00e0 appliquer nos recommandations \u00bb (propos rapport\u00e9s par DL News<\/a>). C’est exact, et c’est pr\u00e9cis\u00e9ment le point aveugle : un audit valide un instantan\u00e9 du code, il ne garantit ni que l’\u00e9quipe corrigera les failles, ni que le code audit\u00e9 sera celui mis en production. Un contrat \u00e9volutif (upgradeable) contr\u00f4l\u00e9 par une cl\u00e9 unique suffit \u00e0 rendre le badge caduc d\u00e8s le lendemain de sa publication. Les m\u00e9caniques d’un tel effondrement, et surtout la question de savoir qui touche l’argent et qui s’en sort, sont d\u00e9taill\u00e9es dans notre enqu\u00eate sur l’\u00e9conomie des rug pulls DeFi<\/a>. La le\u00e7on pratique est simple : un audit sans v\u00e9rification que le code en production correspond au code audit\u00e9 ne prouve rien.<\/p>

Le vrai honn\u00eate, mais insuffisant : l’audit est une photo<\/h2>

La troisi\u00e8me cat\u00e9gorie est la plus inconfortable, parce qu’elle ne met en cause ni fraude ni n\u00e9gligence. Un audit peut \u00eatre s\u00e9rieux, men\u00e9 par un bon cabinet, sur exactement le bon code, et le protocole se faire piller quand m\u00eame. Ronghui Gu, cofondateur et directeur g\u00e9n\u00e9ral de CertiK, le formule ainsi : \u00ab La fen\u00eatre de danger ne se referme pas apr\u00e8s le lancement. \u00bb Il ajoute qu’\u00ab un projet est audit\u00e9 une fois avant le d\u00e9ploiement, il passe, puis ne revient jamais sur ce code \u00bb (propos recueillis par Forbes<\/a>). Le rapport vieillit ; le badge, lui, reste affich\u00e9 des ann\u00e9es.<\/p>

Surtout, un audit de code ne couvre par construction qu’une partie du risque. Le rapport Hack3d du premier semestre 2026 de CertiK chiffre plus de 1,31 milliard de dollars (environ 1,17 milliard d’euros) de pertes sur 344 incidents, et la r\u00e9partition par vecteur est \u00e9loquente (voir la page du rapport Hack3d de CertiK<\/a>).<\/p>

Vecteur<\/th>Pertes S1 2026<\/th>Incidents<\/th>Lecture pour le badge \u00ab audit\u00e9 \u00bb<\/th><\/tr><\/thead>
Compromission de portefeuille et de cl\u00e9s<\/td>~444 M$ (~397 M\u20ac)<\/td>33<\/td>Le plus co\u00fbteux par incident (~13 M$, ~11,6 M\u20ac), totalement hors p\u00e9rim\u00e8tre d’audit<\/td><\/tr>
Phishing<\/td>~366 M$ (~328 M\u20ac)<\/td>63<\/td>Ing\u00e9nierie sociale : aucun rapport de code ne l’emp\u00eache<\/td><\/tr>
Failles de code<\/td>~152 M$ (~136 M\u20ac)<\/td>204<\/td>Le plus fr\u00e9quent, mais le moins co\u00fbteux ; le seul vraiment \u00ab auditable \u00bb<\/td><\/tr><\/tbody><\/table><\/figure>

Le message de ce tableau est brutal pour le label : le seul vecteur v\u00e9ritablement \u00ab auditable \u00bb, les failles de code, est le plus fr\u00e9quent mais le moins co\u00fbteux. L’argent part ailleurs, vers la compromission de cl\u00e9s et le phishing, l\u00e0 o\u00f9 aucun rapport de smart contract ne va regarder. Et les exemples de code pourtant tr\u00e8s audit\u00e9 ne manquent pas : Balancer a \u00e9t\u00e9 pass\u00e9 au crible plus de dix fois par quatre cabinets diff\u00e9rents avant d’\u00eatre vid\u00e9 de plus de 100 millions de dollars en novembre 2025, et Cetus, sur Sui, a perdu environ 223 millions de dollars (pr\u00e8s de 200 millions d’euros) en mai 2025 malgr\u00e9 trois audits distincts (voir l’analyse de Halborn sur le hack de Cetus<\/a>). Un badge honn\u00eate reste un badge partiel.<\/p>

Il y a une raison structurelle \u00e0 cela. Un audit examine un contrat \u00e0 un instant donn\u00e9, mais un protocole DeFi vit dans un environnement mouvant : il d\u00e9pend d’oracles de prix, s’imbrique avec d’autres protocoles, et se fait attaquer par des combinaisons que personne n’avait mod\u00e9lis\u00e9es le jour de la revue. Les failles \u00e9conomiques (manipulation d’oracle, pr\u00eat flash, jeux d’incitations) tombent le plus souvent hors du p\u00e9rim\u00e8tre d’un audit de code, tout comme la compromission d’une cl\u00e9 d’administration. Le badge, lui, ne porte aucune de ces r\u00e9serves : il fige une confiance l\u00e0 o\u00f9 le risque, lui, continue de bouger.<\/p>

Ce qu’un badge ne dit pas : p\u00e9rim\u00e8tre, version, effort<\/h2>

Un rapport d’audit s\u00e9rieux est un document nuanc\u00e9. Il pr\u00e9cise la p\u00e9riode d’engagement, le nombre d’ing\u00e9nieurs mobilis\u00e9s, le \u00ab niveau d’effort \u00bb en semaines-personne, la version exacte du code pass\u00e9e au crible, et surtout ce qui \u00e9tait hors p\u00e9rim\u00e8tre. Le badge \u00e9crase toute cette information. Il ne dit pas si l’audit a dur\u00e9 trois jours ou six semaines, s’il portait sur le c\u0153ur du protocole ou sur un module secondaire, ni si des failles de gravit\u00e9 \u00e9lev\u00e9e sont rest\u00e9es \u00ab acknowledged \u00bb sans jamais \u00eatre corrig\u00e9es. Deux projets peuvent afficher le m\u00eame logo alors que l’un a pay\u00e9 une revue de plusieurs semaines et l’autre une relecture exp\u00e9di\u00e9e.<\/p>

Un bon rapport hi\u00e9rarchise ses conclusions par gravit\u00e9 et par difficult\u00e9 d’exploitation, et s\u00e9pare les failles corrig\u00e9es de celles laiss\u00e9es ouvertes. Une faille moyenne facile \u00e0 d\u00e9clencher peut \u00eatre plus dangereuse qu’une faille critique quasi impossible \u00e0 exploiter ; le badge, binaire, efface cette nuance. Il ne dit pas non plus combien de recommandations l’\u00e9quipe a r\u00e9ellement suivies : un projet peut accumuler les findings \u00ab acknowledged \u00bb (reconnus mais non corrig\u00e9s) tout en affichant le m\u00eame logo qu’un projet qui a tout repris. Sans le rapport, l’utilisateur n’a aucun moyen de faire la diff\u00e9rence.<\/p>

Suhail Kakar, responsable des relations d\u00e9veloppeurs chez TAC Blockchain, r\u00e9sume le d\u00e9senchantement du secteur apr\u00e8s une s\u00e9rie de piratages sur des protocoles pourtant tr\u00e8s audit\u00e9s : \u00ab Ce secteur doit accepter qu’\u00eatre \u2039 audit\u00e9 par X \u203a ne veut presque rien dire. Le code est difficile, la DeFi l’est encore plus \u00bb (cit\u00e9 par Cointelegraph<\/a>). La formule est volontairement provocante, mais elle vise juste : sorti de son rapport, le badge ne transporte aucune de ces r\u00e9serves. Lire l’audit plut\u00f4t que le badge n’est pas un slogan, c’est la seule fa\u00e7on de r\u00e9cup\u00e9rer l’information que le tampon a effac\u00e9e.<\/p>

V\u00e9rifier qu’un audit existe vraiment<\/h2>

La premi\u00e8re v\u00e9rification est la plus importante et la plus n\u00e9glig\u00e9e : ne jamais faire confiance au rapport h\u00e9berg\u00e9 par le projet. Un PDF se fabrique, un lien se maquille. Il faut ouvrir le site officiel du cabinet cit\u00e9 et y chercher le rapport. CertiK recommande de passer par sa base Skynet, qui liste les projets r\u00e9ellement audit\u00e9s ; les grands cabinets publient des catalogues \u00e9quivalents. Une fois le rapport original retrouv\u00e9, on compare point par point : nom du projet, r\u00e9seau, adresse du contrat, version du code, p\u00e9rim\u00e8tre et date. Si l’un de ces \u00e9l\u00e9ments ne colle pas, ou si le rapport est tout simplement introuvable chez le cabinet, le badge est purement d\u00e9coratif.<\/p>

Ce r\u00e9flexe d\u00e9samorce le faux pur comme le vrai d\u00e9tourn\u00e9. Le paradoxe de 2026, c’est que les cabinets investissent massivement dans la surveillance continue (le pari de CertiK d’opposer l’IA \u00e0 l’IA<\/a> en est l’illustration) pendant qu’une partie du public s’arr\u00eate encore au logo. La technologie de d\u00e9tection progresse plus vite que l’hygi\u00e8ne de v\u00e9rification des utilisateurs. Le tableau ci-dessous r\u00e9sume la routine minimale \u00e0 appliquer avant de confier des fonds \u00e0 un protocole qui se dit audit\u00e9.<\/p>

Question<\/th>Ce qu’il faut faire<\/th>O\u00f9 v\u00e9rifier<\/th><\/tr><\/thead>
Le rapport existe-t-il vraiment ?<\/td>Ouvrir le site du cabinet, pas le PDF fourni par le projet<\/td>Site officiel de l’auditeur, base Skynet (CertiK)<\/td><\/tr>
Le rapport correspond-il au projet ?<\/td>Comparer nom, r\u00e9seau, adresse du contrat, version, p\u00e9rim\u00e8tre et date<\/td>Rapport original contre contrat on-chain<\/td><\/tr>
Le code d\u00e9ploy\u00e9 est-il le code audit\u00e9 ?<\/td>V\u00e9rifier le code source publi\u00e9 et le commit r\u00e9f\u00e9renc\u00e9<\/td>Explorateur de blocs (code v\u00e9rifi\u00e9), d\u00e9p\u00f4t public<\/td><\/tr>
Le cabinet est-il cr\u00e9dible ?<\/td>Regarder son historique de findings, pas son logo<\/td>Solodit, DeFiSafety, rapports publics<\/td><\/tr>
Les failles ont-elles \u00e9t\u00e9 corrig\u00e9es ?<\/td>Lire l’annexe de revue des correctifs, pas seulement le score<\/td>Section \u00ab fix review \u00bb du rapport<\/td><\/tr><\/tbody><\/table><\/figure>

V\u00e9rifier que le code audit\u00e9 est bien le code d\u00e9ploy\u00e9<\/h2>

Retrouver un vrai rapport ne suffit pas : encore faut-il qu’il d\u00e9crive le code r\u00e9ellement en production. C’est toute la le\u00e7on de Swaprum. La v\u00e9rification tient en deux gestes. D’abord, r\u00e9cup\u00e9rer dans le rapport l’adresse du contrat et le commit (ou le hash) r\u00e9f\u00e9renc\u00e9s. Ensuite, ouvrir un explorateur de blocs et confirmer que le code source \u00ab v\u00e9rifi\u00e9 \u00bb du contrat correspond bien \u00e0 cette version, et non \u00e0 un binaire opaque d\u00e9ploy\u00e9 apr\u00e8s coup. Un contrat dont le code source n’est m\u00eame pas v\u00e9rifi\u00e9 publiquement devrait, \u00e0 lui seul, faire fuir.<\/p>

Concr\u00e8tement, la comparaison passe par le bytecode. Un explorateur de blocs indique si le code source d’un contrat a \u00e9t\u00e9 \u00ab v\u00e9rifi\u00e9 \u00bb, c’est-\u00e0-dire recompil\u00e9 puis confront\u00e9 au bytecode r\u00e9ellement d\u00e9ploy\u00e9 \u00e0 l’adresse. Un rapport d’audit s\u00e9rieux mentionne le hash du commit examin\u00e9 ; il suffit alors de contr\u00f4ler que ce commit correspond bien au code source publi\u00e9. Si le projet ne fournit ni adresse, ni commit, ni code v\u00e9rifi\u00e9, l’audit devient inv\u00e9rifiable, et un audit inv\u00e9rifiable ne vaut pas mieux qu’un faux.<\/p>

Le drapeau rouge central est le contrat \u00e9volutif sans garde-fou. Un proxy upgradeable contr\u00f4l\u00e9 par une cl\u00e9 unique permet de remplacer la logique du contrat en une seule transaction, r\u00e9duisant \u00e0 n\u00e9ant n’importe quel audit. Un timelock et un multisig ne suppriment pas le risque, mais ils laissent au public le temps de voir venir un changement suspect ; sans eux, le code peut muter en silence. Surveiller les mouvements on-chain d’un protocole, comme le font les traqueurs de baleines et de flux suspects<\/a>, rel\u00e8ve de la m\u00eame hygi\u00e8ne : un badge ne remplace pas l’observation continue de ce qui se passe r\u00e9ellement \u00e0 l’adresse du contrat.<\/p>

O\u00f9 lire les vrais rapports : Solodit, DeFiSafety, d\u00e9p\u00f4ts publics<\/h2>

V\u00e9rifier un badge suppose de savoir o\u00f9 trouver la v\u00e9rit\u00e9. Plusieurs ressources ind\u00e9pendantes existent. Solodit, propri\u00e9t\u00e9 de Cyfrin, agr\u00e8ge des dizaines de milliers de findings issus de cabinets et de plateformes de concours (Trail of Bits, OpenZeppelin, Sherlock et bien d’autres), ce qui permet de recouper le s\u00e9rieux d’un audit et l’historique d’un cabinet. DeFiSafety publie un score de qualit\u00e9 de processus, ind\u00e9pendant des cabinets, not\u00e9 sur des crit\u00e8res de documentation, de tests et de contr\u00f4les d’administration. Les cabinets eux-m\u00eames tiennent des catalogues publics de leurs rapports, souvent accompagn\u00e9s des d\u00e9p\u00f4ts de code correspondants.<\/p>

L’id\u00e9e directrice : on juge un auditeur sur son historique de findings, pas sur son logo. Un cabinet qui publie des rapports d\u00e9taill\u00e9s, qui documente ses rat\u00e9s (les meilleurs le font, sous forme de post-mortem, apr\u00e8s un piratage) et dont les findings se retrouvent dans les agr\u00e9gateurs inspire davantage confiance qu’un badge orphelin renvoyant vers un fichier h\u00e9berg\u00e9 par le projet. Cette d\u00e9marche de recoupement est la m\u00eame que celle qu’un investisseur applique au rendement d’un protocole : derri\u00e8re un chiffre affich\u00e9, il faut savoir auditer soi-m\u00eame le cash-flow r\u00e9el<\/a> plut\u00f4t que de croire la vitrine. Le badge de s\u00e9curit\u00e9 et le rendement annonc\u00e9 ob\u00e9issent \u00e0 la m\u00eame r\u00e8gle : ce qui n’est pas v\u00e9rifiable ne doit pas \u00eatre cru.<\/p>

Les drapeaux rouges d’un audit-alibi<\/h2>

Certains signaux trahissent un audit d\u00e9coratif, invoqu\u00e9 pour rassurer sans prot\u00e9ger. Aucun n’est une preuve \u00e0 lui seul, mais leur accumulation doit faire reculer :<\/p>