BlockPulseNews
Les session keys sont des clés temporaires, aux droits limités, qu'un portefeuille délègue à une application pour signer certaines actions à sa place pendant une durée donnée, sans exposer la clé principale ni demander une validation à chaque clic.
Thème : Portefeuilles et clés
Dans un portefeuille classique, chaque action sur une application décentralisée nécessite une signature manuelle. Pour un jeu ou une application de trading, cela devient vite pénible. Les session keys répondent à ce problème : l'utilisateur autorise une fois une clé secondaire, générée pour l'occasion, à agir dans un cadre strictement défini. Ce cadre peut inclure une date d'expiration, une liste de contrats et de fonctions autorisés, un plafond de dépenses ou un nombre maximal de transactions. Ces règles sont généralement appliquées par un smart contract wallet, c'est-à-dire un portefeuille dont la logique de validation est programmable, ce qui rend les session keys étroitement liées à l'abstraction de compte.
Une fois la session ouverte, l'application signe elle-même les opérations prévues avec la clé temporaire, souvent conservée dans le navigateur. Si cette clé est compromise, les dégâts restent limités par les permissions accordées, et l'utilisateur peut la révoquer à tout moment avec sa clé principale. Avec un portefeuille classique contrôlé par une seule clé privée, il est beaucoup plus difficile d'imposer de telles restrictions, car toute signature valide de la clé suffit à autoriser n'importe quelle opération.
Imaginons que Zoé joue à un jeu en ligne sur la blockchain. Au lancement, elle signe une seule autorisation : pendant deux heures, une clé de session peut appeler les fonctions de déplacement et de combat du jeu, sans pouvoir transférer ses tokens. Elle joue ensuite sans fenêtre de confirmation, et la clé expire automatiquement à la fin de la session.
Des permissions trop larges ou une durée trop longue annulent l'intérêt du dispositif. La clé de session est souvent stockée dans un environnement moins protégé que la clé principale. Il faut lire précisément ce que l'on autorise et révoquer les sessions inutiles.
Elles réduisent le risque par rapport à la clé principale, à condition que les permissions soient étroites et la durée courte. Une session trop permissive reste dangereuse.
En général oui : il faut un portefeuille de type smart contract ou une solution d'abstraction de compte capable d'appliquer les limites de la clé de session.
Les derniers articles de BlockPulseNews sur ce sujet.