Provider request guard
Encapsule les appels ethereum.request pris en charge.
UTXO GUARD / BROWSER SECURITY
Interceptez les requêtes risquées avant le clic aveugle.
Guard est la surface navigateur de SafeSign, avec une base Manifest V3 qui enveloppe les requêtes provider et attend une décision explicite.
SOURCE SCAFFOLD / MANIFEST V3
SURFACE ACTUELLE
Ce qui existe dans la surface produit actuelle.
Le scaffold source existe; le pipeline de build production reste à finaliser.
Local preferences
Uniquement des préférences locales non sensibles.
SafeSign overlay
Revue lisible avant transmission inchangée.
Fail-safe behavior
Avertissement et fallback explicite plutôt qu'approbation cachée.
LE CHEMIN D'UNE SIGNATURE
Comprendre avant de signer.
Toute autorisation irréversible emprunte le même chemin. UTXO Suite rend chaque étape lisible — et s'arrête à la seule qu'il ne doit jamais posséder : la signature.
REQUEST
Un wallet, une dApp ou un agent demande une signature. Rien n'est encore tenu pour acquis.
UTXO SuiteNORMALIZE
La requête est décodée en une forme canonique : méthode, chaîne, origine, paramètres.
UTXO SuiteINTENT
Ce que la requête fait réellement, en clair : un transfert, une approbation, une délégation, un permit.
UTXO SuiteCONTEXT · SIMULATION
Contrepartie, provenance et résultat attendu. La simulation est une preuve, jamais un oracle.
UTXO SuiteRISK
Signaux pondérés : autorité illimitée, code inconnu, contrats fraîchement déployés, destinataires incohérents.
UTXO SuitePOLICY
Vos règles appliquées de façon déterministe à ces preuves : une politique, pas une intuition.
UTXO SuiteDECISION
ALLOW, WARN, REVIEW ou BLOCK. Un BLOCK n'est jamais adouci par une autre couche.
UTXO SuiteAUTHORIZATION
Vous autorisez explicitement. Même un ALLOW n'est pas une signature.
VousPAYLOAD INTEGRITY
Les octets sur le point d'être signés sont comparés aux octets exacts que vous avez examinés.
UTXO SuiteSIGNER
Le signataire isolé vit dans le wallet. UTXO Suite ne détient jamais de clé ni de phrase de récupération.
Vigi WalletBROADCAST
Facultatif. Une transaction signée n'est pas automatiquement une transaction diffusée.
Vigi WalletVERIFICATION
Ce qui s'est réellement produit sur la chaîne est confronté à ce qui vous avait été annoncé.
UTXO Suite
ALLOWRien ne contredit la requête. Elle exige toujours votre autorisation explicite.
WARNQuelque chose mérite votre attention avant de continuer.
REVIEWLa requête ne peut pas être comprise sans que vous y regardiez de plus près.
BLOCKLa requête ne doit pas atteindre un signataire sous la politique actuelle.
Aucune décision n'est une signature. L'autorisation vous appartient toujours.
L'inconnu ne devient jamais sûr. Une preuve manquante reste manquante.
Frontière de sécurité
UTXO Guard
Il peut observer les requêtes prises en charge et préférences locales non sensibles, jamais les clés privées, seeds, signatures brutes ou historique complet.
Prochaine frontière d'intégration
SafeSign
Le build doit router les requêtes via SafeSign, préserver le payload et ne jamais autoriser silencieusement.
UTXO GUARD / FRONTIÈRE EXTENSION
Intercepter les requêtes sans devenir le wallet.
Guard se place entre l'application web et le wallet provider : requête exacte, contexte SafeSign, puis transmission après continuation explicite.
Initie la requête provider.
Capturer method, origin et payload avant l'UI wallet.
Décoder autorité, contexte et inconnues.
Expliquer la conséquence et exiger continuer/annuler explicitement.
Le provider original conserve l'autorité de signature.
FRONTIÈRES DES COMPOSANTS
ARCHITECTURE DU SYSTÈME
Le source actuel fournit la surface extension/UI. L'interception end-to-end et SafeSign doivent encore être validés avec de vrais providers avant toute affirmation production.
COMPONENT
READS
WRITES
FORBIDDEN
CONTENT SCRIPT
origin · provider method
review request
seed · key · sign
SAFESIGN ADAPTER
payload · origin · context
decision · evidence
mutate payload
REVIEW UI
decision · evidence
continue / cancel
auto-approve
WALLET PROVIDER
original payload
wallet-specific signing flow
bypass review after mutation
CONTRAT REQUEST / RESULT
INPUT → REVIEW → RESULT
Guard se place entre l'application web et le wallet provider : requête exacte, contexte SafeSign, puis transmission après continuation explicite.
{
"origin":"https://app.example",
"method":"eth_signTypedData_v4",
"payloadHash":"sha256:...",
"request":{"primaryType":"PermitSingle"}
}{
"decision":"REVIEW",
"reasonCodes":["UNLIMITED_AUTHORITY","NEW_SPENDER"],
"payloadHash":"sha256:...",
"forwardAllowed":false
}INVARIANTS DE SÉCURITÉ
ÉTAT ACTUEL
Le source actuel fournit la surface extension/UI. L'interception end-to-end et SafeSign doivent encore être validés avec de vrais providers avant toute affirmation production.
NO KEY CUSTODY
L'analyse ne doit pas exiger de seed ni de garde de clé privée.
NO SILENT SIGN
La revue ne doit jamais devenir une signature, approbation ou diffusion implicite.
PAYLOAD INTEGRITY
Le payload finalement autorisé doit correspondre à celui revu ; toute mutation exige une nouvelle revue.
VISIBLE FAILURE
Méthodes non supportées, contexte absent et échecs doivent rester visibles plutôt que devenir ALLOW.
ÉTAT ACTUEL
Le source actuel fournit la surface extension/UI. L'interception end-to-end et SafeSign doivent encore être validés avec de vrais providers avant toute affirmation production.