Archive fermée et keeper inerte
L’archive OCI, ses blobs, ses digests, son source digest et son identité sont validés. Le keeper reste arrêté, sans réseau, non-root, en rootfs read-only et sans capacités. Voir la fiche.
Secrets, PKI et IAM
La politique non secrète peut être gérée par IaC. Les clés et mots de passe restent hors Git, state, image et output.
| Objet | Chemin / service | Identité | Rotation | Statut |
|---|---|---|---|---|
| Cell TLS / carrier CA | /var/lib/navy-phone-edge/secrets vers copies /run | Root source, UID/GID exact runtime | À opérer via management | Contrat, PKI absente |
| PKI télémétrie edge | Collecteur privé avec certificats injectés par LoadCredential | DynamicUser; CA télémétrie séparée; SAN client unique exact edge-a.telemetry.navy.invalid ou edge-b.telemetry.navy.invalid | À opérer et tester hors Git | Code et lab systemd locaux; aucune PKI ou Instance déployée |
| PKI monitoring et notification | Prometheus, Alertmanager et webhook privés | Identités monitoring A/B distinctes des identités télémétrie; CA cluster et notification dédiées | À opérer avec révocation et bascule A/B | 7 endpoints mTLS et 4 rôles croisés refusés dans le runtime-lab 12/12 local; aucun certificat ou runtime de production déployé |
| ARI certificat / mot de passe | Copie Asterisk read-only | Service Navy Phone dédié | Révocation + redémarrage drainé | Contrat/lab |
| TURN credentials | Broker cible vers coturn/client | Tenant et appareil | TTL court | Cible |
| Accès VoiceBot | 11 routes derrière getSession; allowlists distinctes de headers et réponse streamée bornée à 1 MiB | Jeton machine lié à l’organisation; Cookie, forwarding, x-real-ip et x-organization-id exclus en sortie; Set-Cookie, Authorization et Location exclus au retour | À opérer pour l’identité machine | 17/17 dans 4 fichiers. 401 si session invalide; panne session store: 503 no-store sans fetch/token; identité machine absente: 503 sans fetch. Inventaire 11 chemins, force-dynamic et 12 handlers invoqués. Aucun déploiement prouvé |
| IAM/KMS | Secret Manager, KMS, DB, objet | Un principal par service | Audit + break-glass | Non déployé |
Egress et sous-traitants externes
La présence d’un adaptateur ne vaut ni autorisation, ni souveraineté. Le mode LOCAL_ONLY refuse les clés cloud; toute activation externe reste une gate NO-GO distincte.
| Service | Données susceptibles de sortir | Contrôle actuel | Preuve manquante |
|---|---|---|---|
| ElevenLabs | Texte validé destiné à la synthèse vocale | Adaptateur optionnel; clé refusée en mode local strict | Contrat, résidence, rétention, voix, latence, coût, quotas, reprise et SLO |
| Anthropic / OpenRouter | Transcription bornée à 6 000 caractères, langue et consigne de résumé | Adaptateurs optionnels; aucune action critique confiée au résumé | DPIA, sous-traitants, résidence, suppression, minimisation, qualité, coût et SLO |
| Resend | Destinataire, sujet et contenu de l’email transactionnel | Adaptateur optionnel; les erreurs sont actuellement absorbées et doivent rester visibles à l’opérateur | Domaine, SPF/DKIM/DMARC, résidence, délivrabilité, webhook, retry, rotation et SLO |
Voir les fiches fournisseurs IA externes et email Resend. Aucun de ces services n’est attesté comme déployé ou approuvé.
La matrice par classe de données, les sorties hors UE et les preuves manquantes sont détaillées dans Données et souveraineté européenne.
Chaîne de confiance du kit de reprise
Le mot « hors ligne » décrit l’usage visé pendant l’incident. Il ne devient vrai que si la fabrication, la distribution et la reconstruction n’exigent aucun téléchargement non approuvé.
Corruption et nettoyage
Une archive corrompue est refusée et les résidus temporaires stale sont nettoyés. Le remplacement contrôlé d’un bundle durable corrompu et l’inventaire avant/après des images orphelines ne sont pas exercés.
Release signée, SBOM et CVE
Aucune signature externe, nomenclature logicielle, politique de vulnérabilité ou provenance des paquets ne lie encore la release au bundle installé.
Build et vérification offline
L’image observée en lab utilise encore le réseau vers les dépôts Alpine. Aucun miroir souverain approuvé, export de paquets signé ou runner CI recovery autorisé n’est prouvé.
Minimisation et conformité
Aucune gate logicielle ne produit seule l’autorisation réglementaire d’opérer une téléphonie publique en Belgique.
Numérotation et opérateur
DID, portabilité, obligations opérateur et interopérabilité à valider.
Urgence et localisation
Routage, localisation, disponibilité et limites du service à homologuer.
Voix et décision
Finalités, sous-traitants, résidence, consentement, droits et notification incident.
Processus humain
Autorité, séparation de rôles, traçabilité et rétention juridiquement approuvées.
La provenance d’image, OpenTofu et la promotion ont une page d’autorité: Build, IaC et déploiement. L’identité des outils et artefacts est dans le catalogue supply chain; leurs preuves sont dans le registre des preuves.