NO CUSTODY
Nessuna custodia di seed o private key.
DOCUMENTAZIONE DEVELOPER
Integra il confine di review, non quello di custodia.
La documentazione è centrata sulla sicurezza transazionale: ingresso SafeSign, analisi Security Core, autorizzazione e stato reale delle integrazioni.
MODELLO DI SICUREZZA
Quattro invarianti prima dei dettagli.
Questi vincoli contano più del framework.
PAYLOAD INTEGRITY
Non mutare il payload di wallet/dApp.
EXPLICIT AUTHORIZATION
Niente auto-sign o auto-broadcast; autorizzazione esplicita.
FAIL VISIBLE
Evidence assente = incertezza, mai silent allow.
CICLO REQUEST
Request → decode → contesto → review.
Preserva il request originale e aggiungi evidenza leggibile.
REQUEST
Ricevi request e contesto.
DECODE
Normalizza metodo, params, typed data, approvals o PSBT.
CONTEXT
Aggiungi policy, destination e simulation quando disponibili.
REVIEW
Mostra rischio/incertezza; l'utente mantiene l'autorizzazione.
GUARD / MANIFEST V3
Base attuale dell'integrazione browser.
Esiste uno scaffold Chrome/Brave che avvolge ethereum.request e attende continua/rifiuta. Serve ancora la pipeline production.
ethereum.request → SafeSign → original provider
// browser/page context — conceptual integration boundary
const original = ethereum.request.bind(ethereum)
ethereum.request = async (request) => {
const decision = await reviewWithSafeSign(request)
if (decision !== "continue") throw new Error("User rejected")
return original(request) // forward unchanged
}Solo preferenze locali non sensibili; mai keys, seed, raw signature o cronologia completa.
STATO INTEGRAZIONE
Una UI curata non prova il backend.
Ogni superficie dichiara il suo confine reale.
UTXO GUARD
Guard — base Manifest V3 esiste; build/distribuzione production separati.
UTXO WALLET
Wallet — UI esiste; flussi reali via SafeSign.
UTXO RELAY
Relay — analisi rotte/fee/PSBT esiste; firma/execution future.