Données et preuves

Rôle / owner

État durable Navy Phone et VoiceBot avec bases/rôles séparés. Owner plateforme data.

Interfaces / confiance

TLS privé, port conventionnel 5432 à confirmer, aucun accès public.

État / dépendances

Sessions, ledger, révisions, migrations, sauvegardes.

HA / panne

Failover/PITR cibles; admission fermée si cohérence critique perdue.

Sécurité / preuve / source

RLS/NOLOGIN/IAM, mot de passe hors state; RPO/RTO non mesuré. Source: data-foundation, stores PostgreSQL.

Ouvrir la fiche composant

Rôle / owner

Enregistrements autorisés, exports et artefacts. Owner conformité/data.

Interfaces / confiance

HTTPS 443/endpoints privés, ACL et clés dédiées.

État / dépendances

Objets, métadonnées, consentement, TTL/legal hold.

HA / panne

Upload idempotent; appel ne doit pas dépendre du bucket.

Sécurité / preuve / source

SSE/KMS/Object Lock cibles; aucun bucket. Source: infra/scaleway/audio-vault/.

Ouvrir la fiche composant

Rôle / owner

Transitions téléphonie et preuve technique. Owner Navy Phone, séparé de l’audit VoiceBot.

Interfaces / confiance

Événements structurés internes, export cible privé.

État / dépendances

Hash chain, séquence, call ID opaque, clock.

HA / panne

Buffer borné ou admission fermée; pas de commit fictif.

Sécurité / preuve / source

RBAC/redaction, rupture de chaîne à alerter. Source: lib/audit.ts, audit-center.

Ouvrir la fiche composant

Rôle / owner

Capture optionnelle, règles de rétention et purge. Owner conformité.

Interfaces / confiance

Audio vers vault seulement avec autorité; aucune capture par défaut.

État / dépendances

Consentement, objet, checksum, échéance, legal hold.

HA / panne

Échec stockage ne doit pas faire croire à un enregistrement réussi.

Sécurité / preuve / source

Double contrôle et dry-run purge existent. Le lab strict v2 couvre navy.db et un jeu local de fichiers, pas le coffre objet ni la politique de production. Source: lib/recording-*, politiques recording.

Ouvrir la fiche composant

Rôle / owner

Éprouve sauvegarde et restauration transactionnelle sans toucher la production. Owner reprise des données locales.

Interfaces / confiance

Archive v2, manifeste fermé, SHA-256, chiffrement age, lease partagé pendant la vie du service et lease exclusif pendant restore/recovery.

État / dépendances

Snapshot recovery fermé: 126 sources au digest c25ee67a0a9302cf532a546a33c895a3b27dfc6a7121efa1c3ef5ad8b2a27e6f; 48/48 tests telephony-backup-restore, dont 42 scénarios hostiles internes, et 81/81 tests sur quatre suites ciblées.

HA / panne

Schéma maintenance v3, finalizer committed-success et reaper provider contractuel. Le reaper refuse une course de rattachement et contrôle les UUID mémorisés par GET direct si les listes sont vides.

Sécurité / preuve / source

Avec une CLI Scaleway factice, le canari déjà expiré doit être supprimé avant toute ressource facturable, par un run strictement postérieur, puis rester absent sur trois observations. Le serveur est supprimé sans cascade avant les UUID exacts du groupe de sécurité, du volume et de l’IP. Le plafond de 0,10 EUR couvre seulement les ressources du lab; le Job partagé est exclu. Vrai Job Scaleway, perte complète du contrôleur, cloud, média et PSTN non prouvés. Verdict production NO-GO.

Ouvrir la fiche composant

Rôle / owner

Empêche le service de repartir pendant une maintenance ou sur un verrou stale. Owner reprise hôte.

Interfaces / confiance

Unités systemd, maintenance-lock v3, boot ID, autorité Docker locale, kit hors checkout et contrats du reaper provider.

État / dépendances

PROUVÉ localement: snapshot fermé de 126 sources, 48/48 tests recovery et 81/81 sur quatre suites; deux coupures forcées historiques sous vrai PID 1 systemd avec reprise positive et refus fail-closed.

HA / panne

Adoption stale, révocation, finalizer et reaper contractuel sont testés localement. Une course de rattachement bloque les suppressions; les listes vides déclenchent un GET direct des UUID mémorisés.

Sécurité / preuve / source

Le rapport v6 systemd reste local, émulé et non signé. Les nouveaux contrôles du reaper utilisent une CLI factice: aucun vrai Job Scaleway ni perte complète du contrôleur n’est exercé. Le budget de 0,10 EUR ne couvre que les ressources du lab et exclut le coût du Job partagé. Hôte candidat, vraie application, release signée, média et appel restent non prouvés. NO-GO.

Ouvrir la fiche composant

Rôle / owner

Conserve la décision de promotion et sa preuve reproductible. Owner release assurance, avec approbateur indépendant.

Interfaces / confiance

Écriture CI/gate privée et lecture audit; API, stockage et port restent à figer.

État / dépendances

Une enveloppe locale exact-edge v1 produit 13 checks, 9 métriques, digest, versions et références opaques. La cible y ajoute gate et approbateur dans un artefact immuable.

HA / panne

Append-only, réplication et restauration vérifiée sont cibles; preuve absente ou incohérente bloque la promotion.

Sécurité / preuve / source

Le dernier rapport local est content-free, horodaté et référence un commit avec sourceTreeClean=false; il reste non attesté et en promotion NO-GO. Aucun registre déployé ni attestation externe acquise; source: edge-integrated-media-evidence.ts, gates et matrice de preuve.

Ouvrir la fiche composant