Architecture solution
Zones principales, frontières transverses, gardes attendues et niveau de preuve de chaque passage.
Le résumé donne les espaces essentiels, les frontières transverses, le gardien attendu et la limite de preuve, sans jargon.
Une carte des espaces où vivent les différentes parties du service téléphonique, plus les frontières du navigateur et du produit VoiceBot séparé. Chaque passage doit avoir un gardien nommé, avec ses règles et ses clés.
Comme un bâtiment à six niveaux de sécurité: on ne monte d’un étage qu’en présentant la bonne preuve au bon gardien, et le refus est la règle par défaut.
Le carrier cible; la compatibilité Twilio historique; les portes publiques A et B; le cœur téléphonique; le navigateur et TURN; le contrôle et les données Navy Phone; le produit VoiceBot séparé; les runtimes IA; l’administration privée.
Des gardes précises ont été exercées localement: mTLS et refus d’admission edge, sockets internes, mode local strict et chaîne de supervision privée. Les autres passages restent au stade du code, de la cible ou de la dépendance externe.
Aucun opérateur réel, numéro public, réseau distant ou hébergement chez un fournisseur n’est connecté. Les contrats avec les tiers, l’hébergement des données en Europe et les analyses d’impact ne sont pas établis.
Un passage franchi sans contrôle. Chaque gardien est donc réglé pour refuser quand une preuve manque, jamais pour laisser passer en se dégradant.
Mise en service interdite. Cette carte sert à préparer les preuves externes, pas à opérer un service public.
Chaque étape nomme l’espace, ce qui y entre, ce qui en sort et qui doit décider du passage. Le trajet reste lisible sans fonction interactive.
Six étapes réseau et plateforme, complétées juste après par les frontières client et VoiceBot.
L’appel arrive depuis l’extérieur. La première porte ne s’ouvre que si l’identité de l’opérateur est reconnue par certificat et si le numéro composé est autorisé; sinon l’appel est refusé.
Le code peut recevoir un appel annoncé par Twilio via Internet. Ce chemin historique n’est ni branché ni retenu comme cible souveraine; sa demande devrait être signée et viser un numéro autorisé.
Chaque porte filtre les nouveaux appels, limite leur rythme et garde le son chez elle. A et B sont deux ensembles complets et séparés: un appel en cours ne passe jamais de l’un à l’autre.
Derrière la porte, le cœur de l’appel ne parle qu’avec ses voisins déclarés, sur des adresses internes exactes. Toute autre ouverture est interdite.
Les clés, les certificats, l’horloge et la supervision vivent dans un espace privé, joignable seulement par les personnes et machines autorisées. Aucune administration ne se fait depuis l’extérieur.
La cible sépare le contrôle Navy Phone, ses données, le produit VoiceBot et les runtimes IA. Le mode local strict refuse les clés IA externes, mais aucun hébergement ne prouve encore l’isolation complète.
Comment lire ce trajet: avancez avec les flèches du clavier ou parcourez les étapes dans l’ordre. Les contrats exacts de chaque passage restent dans la « Vue architecte ».
Étape 1 sur 6: L’appel arrive depuis l’extérieur. La première porte ne s’ouvre que si l’identité de l’opérateur est reconnue par certificat et si le numéro composé est autorisé; sinon l’appel est refusé.
Impact utile: l’architecture exige une identité, une règle et un responsable à chaque passage; la preuve acquise varie selon la frontière.
En cas de panne: les gardes codées ferment les passages qu’elles contrôlent. Les comportements carrier, client, VoiceBot et IA restent à exercer de bout en bout.
Responsable: chaque frontière a son autorité dans Toutes les fonctions; la mise en service reste interdite tant que les preuves externes manquent.
Le terminal utilisateur présente sa session, négocie ICE et peut utiliser TURN. Le code et des essais TURN locaux existent; aucun poste réel, réseau distant, plage relay opérée ou mesure de qualité n’est qualifié.
Navy Phone conserve l’appel, le média et le transfert humain. Le produit VoiceBot séparé reçoit seulement un contrat versionné et tenant-scoped pour la conversation et les décisions métier. Aucun appel cloud de bout en bout ne prouve encore ce passage.
Chaque frontière indique ce qui est acquis localement, ce qui manque et le critère de sortie. Aucune n’est prête pour une mise en service.
8 gates affichées.
Acquis: mTLS local avec CA carrier et cellule séparés, pair sans certificat refusé, contrôles d’admission 403, 400, 483, 429, 503, 404 et 405 exercés en lab.
Manque: trunk, carrier et PSTN réels; DNS/SRV, causes, codecs, DTMF, forks, timers, SRTP et anti-fraude à contractualiser.
Sortie: recette avec un opérateur réel sur IP publiques, identité et interopérabilité mesurées.
Acquis: code local; signature HMAC, URL publique reconstruite, numéro To allowlisté, CallSid réservé et socket unique avant le média.
Manque: ingress public, domaine, webhook configuré, numéro, appel PSTN, protection DDoS, redondance, charge et SLO.
Sortie: appels réels autorisés via un ingress approuvé, avec journaux expurgés et reprise exercée.
Acquis: sockets exacts exercés dans un namespace partagé local, double Record-Route et SDP ancré sur l’adresse de la cellule.
Manque: aucune Instance ni réseau cloud; accès inter-cellule non exercé au-delà du lab.
Sortie: même chaîne déployée sur un environnement souverain candidat, mêmes sockets mesurés.
Acquis: contrat et lab; certificat et mot de passe ARI via copie read-only pour un service dédié.
Manque: rotation, révocation et redémarrage drainé opérés; aucune identité déployée.
Sortie: identités opérées, rotation testée et accès 8089 borné au contrôle Navy.
Acquis: runtime-lab local fermé 12/12, 7 endpoints mTLS et 4 rôles croisés refusés; CA télémétrie, monitoring, cluster et notification séparées.
Manque: load balancer, réseau de management, cluster souverain, webhook déployé et PKI de production.
Sortie: chaîne déployée sur réseau privé réel avec PKI opérée et notification vers un humain.
Acquis: mode LOCAL_ONLY fail-closed; clés cloud refusées; adaptateurs ElevenLabs, Anthropic, OpenRouter et Resend présents mais optionnels.
Manque: contrats, résidence UE, rétention, DPIA, sous-traitants, SPF/DKIM/DMARC, qualité, coût et SLO.
Sortie: contrats signés, résidence attestée et DPIA approuvée avant toute activation externe.
Acquis: session, origines bornées, rôles appareil et contrôles TURN locaux présents dans le code et les tests.
Manque: poste et réseau réels, ingress, plage relay, reprise ICE, getStats, MOS, charge et exploitation.
Sortie: recette multi-réseaux sur terminaux approuvés, identité opérée et qualité mesurée.
Acquis: responsabilités séparées, contrat versionné, isolation tenant et gardes de proxy couvertes par le code et les tests.
Manque: endpoints qualifiés, identités opérées, appel média de bout en bout, reprise et exercice humain.
Sortie: interopérabilité des deux produits exercée sans transférer au VoiceBot l’autorité téléphonique.
Signaux à observer, premier geste sans risque et comportement de reprise, zone par zone.
| Zone | Signaux | Premier geste | Reprise |
|---|---|---|---|
| Externe carrier | Refus 403, 429 ou 503 à l’admission; bail np_admission expiré | Vérifier le bail d’admission et le journal Kamailio; ne pas ouvrir le port 5060 ni élargir le firewall | Le carrier cible tente A puis B pour les nouveaux appels; un appel établi ne migre pas |
| Twilio historique, hors cible souveraine | Webhook refusé (signature, numéro ou CallSid); bridge 127.0.0.1:3103 muet | Garder ce chemin désactivé; vérifier signature et réservation sans affaiblir les gardes | Aucune reprise opérée; nouvelles sessions refusées |
| Edge public A/B | Rate-limit pike déclenché; admission fail-closed sur perte RTPEngine | Confirmer le refus fail-closed; ne jamais contourner par une route RTP centrale | Nouveaux appels sur l’autre cellule seulement si le carrier la sélectionne |
| Edge interne | Socket 5062, 5063, 8089 ou 22222 injoignable | Constater la fin de session locale et le nettoyage; consigner la cause technique | Appel actif perdu; nouvelle admission quand la cellule est de nouveau prête |
| Management privé | Alertes firing puis resolved; deadman stale à 180 s; spool exporter | Lire le receiver et les métriques des deux cellules; ne pas exposer le collecteur | Spool borné à trois enveloppes; le chemin d’appel continue sans supervision |
| Client WebRTC et TURN | Session, WSS, ICE ou allocation TURN indisponible | Conserver la lecture seule et refuser tout accès ou relay non identifié | Parcours cible à exercer; aucune renégociation réelle n’est prouvée |
| Contrôle, données, VoiceBot et IA | Contrat VoiceBot refusé, base indisponible, refus LOCAL_ONLY ou runtime IA muet | Bloquer le commit incertain et garder le parcours téléphonique indépendant | Repli humain prévu, mais aucun enchaînement complet n’est qualifié |
Ce qui vit dans la zone, ce qui entre et sort, qui contrôle le passage, la preuve locale et la limite.
| Zone | Ce qui y vit | Ce qui entre et sort | Qui contrôle le passage | Preuve locale et limite |
|---|---|---|---|---|
| Externe carrier | Trunk, DID, DNS/SRV | Entre: SIP TLS 5061 et SRTP/RTP négocié. Sort: codes de refus et média ancré | Kamailio: mTLS et CN carrier exact, sanity, pike à 12 requêtes par fenêtre de 2 s, bail np_admission, DID allowlisté vers alias opaque | mTLS local avec CA séparées et refus 403/400/483/429/503/404/405 en lab; aucun trunk, carrier ou PSTN, interopérabilité à contractualiser |
| Compatibilité Twilio historique, hors cible souveraine | Webhook Twilio et Media Streams via ingress Caddy dédié | Entre: HTTPS/WSS 443 public. Sort: proxy local vers 127.0.0.1:3103 après validation | Signature HMAC, URL publique reconstruite, To allowlisté, CallSid réservé, une seule socket; le port 3103 n’est jamais public | Code et tests locaux seulement; aucun ingress, domaine, numéro, appel réel, DDoS, HA ou SLO |
| Edge public A/B | Kamailio et RTPEngine par cellule | Entre: 5061 depuis CIDR carrier. Sort: dialogue interne 5063 et média ancré sur la plage de la cellule | Firewall input, output et forwarding fermés par défaut; 5060, HTTP, TURN et SSH interdits; rate-limit et ancrage média | Règles lab exact-edge; carrier absent et accès inter-cellule interdit |
| Edge interne | Kamailio interne, Asterisk, ARI et Media WS | Entre: SIP TLS loopback 5062/5063. Sort: ARI TLS et WSS 8089, NG loopback 22222 | Boucles locales exactes; exposition Internet interdite | Sockets exacts prouvés dans un namespace partagé local; pas sur Instance |
| Management privé | VPN/BGP, bastion, PKI, secrets, NTP, collecteurs et alerting | Entre: SSH 22 via VPN/bastion, NTP 123, exporters vers VIP 10.72.40.50:9443. Sort: scrapes A/B privés et webhook mTLS 10.72.40.60:9444 | CA télémétrie, monitoring, cluster et notification séparées; SAN et CIDR exacts; Proxy Protocol refusé; administration publique directe interdite | Runtime-lab fermé 12/12, 7 endpoints mTLS et 4 rôles croisés refusés; aucun LB, réseau de management ou cluster souverain déployé |
| Client utilisateur et temps réel | Navigateur, session utilisateur, signalisation WSS, WebRTC et allocations TURN | Entre: HTTPS/WSS et identité de session. Sort: ICE, média WebRTC et requêtes TURN bornées | Session, tenant, rôle appareil, origines, credentials TURN temporaires et quotas | Code et essais TURN locaux; aucun terminal, réseau distant, plage relay ou qualité réelle qualifié |
| Contrôle Navy Phone | Application, API, orchestration téléphonique, ARI, Media WebSocket et handoff humain | Entre: événements edge, demandes utilisateur et audio. Sort: commandes téléphoniques, contrat VoiceBot et preuves média | Identité tenant-scoped, admission ARI et contrats versionnés | Code et tests locaux; topologie, drain, affinité et appel réel non prouvés |
| Données Navy Phone | PostgreSQL cible, stockage objet, enregistrements autorisés et ledger téléphonie | Entre: événements et fichiers autorisés. Sort: lectures contrôlées, exports et preuves de rétention | RBAC, tenant, chiffrement cible, consentement, rétention et audit | Schémas, règles et labs locaux; aucun stockage cloud, résidence ou restauration production prouvé |
| Produit VoiceBot Navy Crisis | Sessions de crise, protocoles, RAG, décisions, garde déterministe et audit métier séparé | Entre: contrat versionné et contexte borné depuis Navy Phone. Sort: réponse candidate et décision autorisée | Identité machine tenant-scoped, révision de session et garde déterministe | Produit et tests séparés; aucun endpoint cloud, appel humain ou pilote de crise qualifié |
| Runtimes IA privés cibles | STT, LLM et TTS approuvés, versionnés et mesurés | Audio borné, contexte autorisé, texte candidat et frames audio | Endpoints privés à figer, egress fermé, digests de modèles et budgets de délai | Adaptateurs et bancs partiels; aucun runtime souverain déployé, résidence, charge ou reprise prouvée |
Les plans, CIDR et cellules exacts restent dans Topologie réseau; chaque gardien possède sa fiche dans Toutes les fonctions.
Identités par plan, données susceptibles de sortir et preuves externes manquantes. Aucune conformité n’est acquise.
| Service tiers | Données susceptibles de sortir | Contrôle actuel | Preuve manquante |
|---|---|---|---|
| Twilio, compatibilité historique hors cible souveraine | Numéro appelé, CallSid et audio d’appel en direct | Chemin désactivé par défaut; signature HMAC, URL reconstruite, numéro allowlisté, socket unique dans le code | Décision d’abandon ou qualification explicite, contrat, résidence, rétention, ingress attesté, DDoS et SLO |
| ElevenLabs | Texte validé destiné à la synthèse vocale | Adaptateur optionnel; clé refusée en mode local strict | Contrat, résidence, rétention, voix, latence, coût, quotas, reprise et SLO |
| Anthropic / OpenRouter | Transcription bornée à 6 000 caractères, langue et consigne de résumé | Adaptateurs optionnels; aucune action critique confiée au résumé | DPIA, sous-traitants, résidence, suppression, minimisation, qualité, coût et SLO |
| Resend | Destinataire, sujet et contenu de l’email transactionnel | Adaptateur optionnel; erreurs absorbées à rendre visibles à l’opérateur | Domaine, SPF/DKIM/DMARC, résidence, délivrabilité, webhook, retry, rotation et SLO |
Aucun hébergement, région ou sous-traitant européen n’est contractualisé. La souveraineté des données reste une cible, pas un acquis.
Finalités, sous-traitants, résidence, consentement, droits et notification d’incident restent des gates humaines.
Numérotation, obligations opérateur, urgence et localisation restent à valider; aucune gate logicielle ne produit l’autorisation d’opérer.
Les identités de chaque plan sont décrites et exercées en lab local; aucune PKI, rotation ou révocation de production n’existe.
La résidence et les tiers sont détaillés dans Souveraineté des données; les comportements quand une frontière tombe sont dans Scénarios de panne.
Pages voisines: Topologie réseau pour les zones et plans, Scénarios de panne pour ce qui se passe quand une frontière tombe, Souveraineté des données pour la résidence et les tiers, Toutes les fonctions pour la fiche de chaque gardien.