et pour la différence entre substituters et trusted-substituters, si je comprends bien, c’est que trusted-substituters est utilisable par n’importe quel user, mais substituters uniquement par un trusted-user:
https://nix.dev/manual/nix/2.28/command-ref/conf-file.html#conf-substituters

At least one of the following conditions must be met for Nix to use a substituter:

• The substituter is in the trusted-substituters list
• The user calling Nix is in the trusted-users list

In addition, each store path should be trusted as described in trusted-public-keys

C'est soit l'un ou l'autre. Il n'est pas nécessaire que l'utilisateur soit dans trusted-users pour qu'il/elle puisse utiliser un substituteur dans trusted-substituters.
Le deuxième cas est pour les commandes qui modifient --option substituters.

Ce qui est important, c'est qu'il faut être privilégié par l'une des deux conditions afin d'ajouter des outputs au Nix store sans faire le build.
Sinon, n'importe-qui pourrait y ajouter des outputs qui ne correspondent pas à la dérivation d'origine (par malice ou par négligence).