Autorité:impactpreuve de fermetureowner
Risques ouverts prioritaires
Les risques sont formulés comme des comportements observables à fermer, pas comme des composants à acheter.
| Risque | Impact | Preuve de fermeture | Owner |
|---|---|---|---|
| Coût et capacité non bornés | Un prix isolé peut masquer le socle fixe, les pics, les frais carrier, l’IA, le stockage, les sorties réseau, la reprise et le travail humain; une économie improvisée peut aussi réduire la sécurité ou la continuité | Hypothèses métier datées, charge par palier, tarifs contractuels UE, coût par unité, scénario de panne, marge, suivi d’écart et plafond approuvé dans le modèle de capacité et de coûts | Direction financière, titulaire à nommer |
| Preuves locales confondues avec une capacité de production | Les gates locales sont vertes et un essai payant borné est GO sous conditions, mais aucun vrai Job/provider cloud n’a tourné. Inventaire limité à quatre familles/une zone, exclusivité IAM hypothétique, vérificateur lexical et TOCTOU local même UID restent ouverts; RPO/RTO, carrier/PSTN et humain ne sont pas exercés. | Exercice cloud autorisé avec Project/profil dédiés, opérateur de confiance, attestation API publique, correction P2, perte contrôleur, reprise réelle, parcours PSTN/humain et SLO | Release assurance + exploitation + produit |
| Reprise post-reboot non qualifiée sur l’hôte candidat | La chaîne est prouvée dans une VM locale synthétique, mais une différence amd64, image réelle, arrêt brutal ou release signée peut encore prolonger l’arrêt ou relancer sur un état incomplet | Même exercice sur hôte candidat avec adoption atomique, révocation, finalizer, vraie application, arrêt brutal contrôlé, contrôles média, rollback et attestation signée | Exploitation plateforme + reprise données |
| Bundle recovery local non signé et repair incomplet | Un bundle durable corrompu ou une image ancienne peut bloquer la restauration, conserver une surface vulnérable ou pousser à télécharger une image improvisée pendant l’incident | Release signée, SBOM, décision CVE, build offline, drill de corruption puis réparation atomique, inventaire avant/après et collecte bornée des images orphelines | Assurance supply chain recovery |
| Aucun runner CI autorisé pour la reprise | Une preuve locale peut dépendre de l’état de la machine, du checkout ou d’une autorité Docker non contrôlée et rester non reproductible par un tiers | Runner dédié autorisé, identité isolée, permissions minimales, sources fermées, labs approuvés, artefacts signés, rétention, nettoyage et échec fail-closed | Plateforme CI + sécurité |
| Couverture SIP encore partielle | Un UAS aval peut accepter le SDP brut d’un PRACK unmatched; la politique non transparente qui supprime le 2xx UPDATE tardif peut casser une interop externe; glare opposé, forks et suites de 1xx peuvent révéler des ordres non couverts; la continuité RTP reste inconnue | Interop carrier/UAS externe de la politique 2xx tardif, glare bidirectionnel réellement exercé, autres ordonnancements BYE/réponse, fork, plusieurs réponses 1xx fiables séquentielles, continuité RTP après chaque renégociation, état aval PRACK, teardown ACK et timers réels | Edge téléphonie |
| Admission non dimensionnée | Le pike fixe à 12 requêtes par fenêtre de 2 s peut refuser un burst carrier légitime; 4 sessions lab ne dimensionnent ni l’hypothèse non approuvée de 25 appels, ni celle de 500 appels | Seuil contractuel et configurable, charge CPS/burst mutualisé, faux positifs 429 et capacité média par palier | Edge téléphonie + SRE/carrier |
| Preuve intégrée locale non promouvable | Une chaîne synthétique fermée peut masquer interop, voix humaine, qualité acoustique, charge et comportements cloud; le mark post-flush ne prouve pas l’arrêt entendu | Artefact signé depuis source propre, carrier/PSTN et cloud réels, test humain, pipeline STT-LLM-TTS, charge/perte/jitter et failover A/B | Release assurance + média + SRE/carrier |
| Admission interne sans qualification carrier terrain | La gate signée v1 empêche une activation sans dossier courant, mais ne prouve ni les signatures d’un vrai opérateur, ni le contrat 503/4 s/30 s, ni ses capacités ou réglages réels. | Qualification signée réelle, A puis B, absence de réponse, réponses terminales, TLS/SRTP, maintien des actifs et récupération exercés sur les IP publiques avec preuve expurgée. | Carrier cible non contracté + SRE |
| Barge-in humain et déployé absent | La propagation logicielle et le settlement sont testés, mais le son peut encore s’arrêter trop tard chez une personne, ou le parcours déployé réagir différemment sous coupure. | Téléphone autorisé dans l’hébergement cible, voix humaine multilingue, arrêt acoustique mesuré, annulation propagée, ancien tour non validé, reprise contextuelle, coupures réseau, charge et SLO. | Navy média + VoiceBot |
| PKI et secrets non opérés | La garde locale protège les 11 routes et passe 17/17 dans 4 fichiers, avec headers filtrés et réponse bornée. L’identité machine, sa rotation et le coffre ne sont toutefois pas opérés; un mauvais provisionnement peut bloquer le produit ou affaiblir l’isolation des organisations. | Identité machine liée à l’organisation déployée, rotation, révocation, audit et break-glass testés en conservant les allowlists de headers et la limite de 1 MiB | Sécurité/SRE + VoiceBot |
| Bridge Twilio public sans ingress ni HA qualifiés | Le code lie signature, numéro, CallSid et socket, mais une erreur d’URL publique, de proxy ou de rotation peut refuser les appels; une panne du processus coupe l’actif et aucune seconde instance n’est prouvée | Ingress durci, secret rotatif, configuration Twilio attestée, requêtes hostiles, appels réels autorisés, coupure/reprise, DDoS, charge, observabilité expurgée et SLO | Intégration téléphonie + sécurité/SRE |
| Egress IA externe et souveraineté non qualifiés | ElevenLabs reçoit du texte; Anthropic et OpenRouter reçoivent transcription bornée, langue et consigne de résumé. Contrat, région, sous-traitants ou rétention inconnus peuvent exposer des données d’appel ou rendre la fonction indisponible | DPIA, contrat, régions, suppression, minimisation, clés rotatives, allowlist egress, panne/quota, coût, qualité multilingue, repli et SLO; LOCAL_ONLY doit rester fail-closed | Responsable des données + sécurité + plateforme IA |
| Runtimes STT/TTS locaux non figés ni dimensionnés | Des adaptateurs et bancs existent pour plusieurs moteurs, mais un modèle non déclaré, une saturation GPU/CPU ou une qualité insuffisante peut produire silence, retard ou mauvaise compréhension | Moteur unique par rôle, digest et image signés, matériel cible, langues/accents, WER et écoute humaine, latence, concurrence, saturation, crash/reprise, isolation sans egress et SLO | Plateforme IA vocale + produit VoiceBot |
| Email Resend sans preuve de livraison ni domaine opéré | Les erreurs sont absorbées et le stub de développement journalise le contenu complet, ce qui peut masquer une non-livraison ou exposer un lien d’activation ou de réinitialisation | Suppression du contenu sensible des logs, domaine, SPF/DKIM/DMARC, contrat/résidence, retry idempotent, webhook, bounce/complaint, statut utilisateur honnête, rotation et SLO | Identité/sécurité + responsable communications |
| Sentinelle vocale donnant une fausse assurance | Le sidecar refuse encore l’analyse anti-spoof. Présenter la sentinelle comme un détecteur opérationnel pourrait conduire un humain à accuser, bloquer ou ignorer une personne sur un signal absent ou erroné | Adapter et modèles approuvés, corpus autorisé, replay/synthèse, langues et bruit, faux positifs/négatifs, biais, confidentialité, revue humaine et interdiction testée de toute décision automatique | Sécurité de crise + supervision vocale |
| Messagerie et non-réponse non exercées après crash réel | Un arrêt PBX/DB ou stockage en course peut perdre un message, lancer une seconde action, boucler un transfert ou faire croire qu’un dépôt a réussi | Courses décroché/timer, deux workers, crash et reprise, messagerie indisponible, stockage/quotas, consentement, notification, transfert en boucle, rétention, restauration, charge et appels autorisés | Téléphonie + plateforme données + conformité |
| Continuité du poste confondue avec une continuité réseau | Le mode lecture seule évite certaines fausses écritures, mais n’apporte ni second réseau ni file offline; réseau captif, session expirée, multi-onglets ou perte du brouillon peuvent bloquer l’opérateur en crise | Postes et navigateurs approuvés, stockage client protégé, réseaux captifs, sessions, multi-onglets, longue coupure, réseau de secours, procédure manuelle, exercice humain et SLO | Opérations de crise + produit web + sécurité poste |
| Certificat public expiré ou renouvellement ACME incompatible avec l’edge fermé | HTTPS/WSS public peut cesser alors que Caddy semble configuré; l’edge cible ne peut joindre ni ACME ni DNS public, et un repli en clair créerait une faille critique | Terminaison TLS choisie, domaine/DNS approuvés, challenge réel, credentials bornés, stockage de clé, renouvellement anticipé, alerte, révocation, panne ACME et bascule sans egress edge | PKI/DNS + SRE ingress |
| HA de supervision seulement locale | Le lab fermé 12/12 exerce deux collecteurs, deux Prometheus et deux Alertmanager avec pertes, partition et reprise. Il reste synthétique: le LB privé et les domaines de panne souverains ne sont pas déployés, le health check TCP ne prouve pas l’ingestion en production et le CIDR source backend LB reste inconnu. | LB et chaîne A/B déployés sur domaines de panne distincts, CIDR backend mesuré puis réduit, charge, restauration et SLO exercés sur l’infrastructure candidate | SRE/plateforme |
| Notification humaine et HA receiver absentes | Deux exécutions indépendantes prouvent localement l’arrêt propre, le crash SIGKILL et une isolation gossip où A et B restent vivants et envoient chacun firing puis resolved. Le receiver voit les doublons physiques, mais la chaîne ne garde qu’une transition durable de chaque état et le cluster se reforme à deux. Alertmanager reste at-least-once et fail-open: répétitions, autres partitions et garantie générale d’une notification unique ne sont pas prouvées. Le receiver reste unique et local; aucun humain n’est prévenu. | Autres partitions et failovers répétés dans le parcours complet; receiver déployé, répliqué et restaurable; notification réelle, acquittement et escalade opérateur; runbook, test d’astreinte et SLO mesuré de bout en bout | SRE/astreinte |
| Chaîne opérateur locale sans HA ni restauration souveraine | La chaîne converge localement après deux arrêts bornés et pendant une partition gossip isolée, en dédupliquant durablement les envois physiques. Elle ne prouve ni répétition, ni autres timings de partition, ni démarrage PID1, haute disponibilité, restauration, charge ou identités opérées dans l’hébergement cible. Une panne de domaine, une restauration ancienne ou une mauvaise rotation de certificat pourrait encore interrompre ou rejouer le suivi en production. | Chaîne déployée sur domaines de panne distincts; autres partitions et bascules répétées; boot systemd PID1; PostgreSQL HA; sauvegarde et restauration souveraines avec epoch/watermark externe; identités runtime authentifiées et rotation testée; récupération opérateur de la DLQ; maximum de retries; charge et SLO; consumer operator-primary et parcours humain exercés de bout en bout | SRE opérations + plateforme données |
| Absence de SLO mesuré | Capacité, latence et qualité impossibles à garantir | Charge, burn-rate, MOS, TTFT et runbooks | SRE/produit |