Le vote des SPO sur Cardano repose encore sur des clés froides

Deux actions de gouvernance Cardano arrivant à expiration le 1er septembre ont remis en lumière la charge opérationnelle pesant sur les opérateurs de pool de staking. La mise à jour du Constitutional Committee et une action de paramètre abaissant minPoolCost de 170 à 75 ADA exigent toutes deux le soutien de plus de 51 % de la mise SPO active.

Au 25 août, le soutien des SPO s'élevait à 12 % pour la mise à jour du Constitutional Committee et à 16,9 % pour l'action de paramètre.

Les votes des SPO exigent un processus de signature hors ligne

Le processus de gouvernance actuel de Cardano exige qu'un vote de SPO soit créé avec la clé de vérification froide du pool et signé avec sa clé de signature correspondante.

Selon le Cardano Developer Portal, l'identifiant de signature doit rester sur une machine isolée du réseau et ne jamais être transféré vers un appareil connecté à Internet.

L'opérateur doit préparer les fichiers requis, déplacer la transaction non signée vers l'environnement hors ligne, la signer puis renvoyer la transaction finalisée vers une machine en ligne pour soumission. Les frais du réseau sont généralement d'environ 0,2 ADA, ce qui signifie que le coût n'est pas le principal obstacle. L'enjeu majeur est la nécessité d'accéder à un identifiant et de le manipuler, identifiant qui protège l'identité centrale du pool.

Les opérateurs peuvent inclure plusieurs fichiers de vote dans une même transaction, ce qui leur permet de voter sur les deux actions actives au cours d'une seule procédure de signature. Cela réduit le nombre d'interactions hors ligne, mais n'élimine pas le flux de travail sensible pour la sécurité.

S'abstenir en ne faisant rien n'est pas toujours neutre. Pour de nombreuses actions de gouvernance, la mise active d'un SPO reste dans le dénominateur, à moins que le pool ne soit explicitement configuré pour s'abstenir. Les votes de hard fork exigent encore un vote direct des SPO.

Calidus sépare l'identité du contrôle du pool

CIP-0151 a introduit Calidus en tant que clé chaude autorisée pouvant représenter un pool de staking sans exposer à répétition son identifiant principal. L'autorisation est enregistrée sur chaîne et approuvée par la clé froide du pool.

Une clé Calidus peut être utilisée par des outils de gouvernance, des explorateurs et des applications décentralisées pour vérifier qu'un message ou une action provient de l'opérateur de pool reconnu. Parce qu'elle est remplaçable, une clé compromise peut être supplantée via un nouvel enregistrement avec un nonce plus élevé. Les opérateurs peuvent aussi révoquer l'autorisation en enregistrant une clé vierge.

Cela crée une couche de sécurité entre l'activité applicative courante et l'identifiant qui contrôle le pool. La clé froide sert à établir l'autorisation, tandis que la clé Calidus remplaçable gère les interactions à risque moindre.

Cependant, cette autorisation s'applique actuellement à l'identité et aux messages au niveau des applications. Elle ne permet pas à une clé Calidus de signer un vote de gouvernance SPO valide pour le registre.

La prise en charge du vote au niveau du registre n'est pas encore active

Une proposition visant à étendre Calidus au vote de protocole a été présentée à l'Intersect Civics Committee le 11 juin 2026. L'objectif était de permettre aux SPO de voter au moyen d'identifiants dérivés plutôt que d'utiliser directement le matériel de sécurité qui détient leur clé de signature principale.

Le comité a envisagé d'approuver formellement l'intégration au niveau du registre le 25 juin, mais le vote a été reporté car les membres ont demandé du temps supplémentaire. Les comptes rendus publics examinés pour cet article ne documentent aucune décision ultérieure ayant modifié ce statut.

Le soutien du comité ne suffirait pas à activer la fonctionnalité. Le vote via Calidus nécessiterait encore une spécification technique, une implémentation dans le registre, des tests et une trajectoire d'activation du protocole convenue.

Les faibles pourcentages de vote ne peuvent pas être attribués exclusivement à la gestion des clés. Le désaccord avec une proposition, l'inactivité de certains pools et les choix de délégation influencent aussi la participation. Néanmoins, le processus actuel crée un travail opérationnel supplémentaire chaque fois qu'un SPO décide de voter.

Jusqu'à ce que Calidus ou une autre méthode d'autorisation déléguée devienne valide au niveau du registre, les opérateurs qui veulent que leur mise soit comptabilisée pour les actions du 1er septembre doivent mener à bien le flux de signature hors ligne existant avec l'identifiant qui sécurise leur pool.