Chaîne d'audit + ancrage TSA
Chaque action d'une session — connexions, captures, tableaux blancs, démarrages et fins d'enregistrement — entre dans une chaîne de hachage SHA-256 par session. La tête de chaîne est ancrée auprès de plusieurs autorités d'horodatage indépendantes dès la clôture de la session. Toute altération est détectable ; la preuve subsiste sans avoir à nous faire confiance.
Comment ça marche
Chaque événement d'audit porte le hachage SHA-256 de l'événement précédent ainsi que son propre payload canonique, et un verrou d'écriture sérialise les événements afin que deux captures concurrentes ne puissent pas entrer en compétition sur la chaîne. Réordonnez un seul événement a posteriori et tous les hachages en aval ne correspondent plus — la vérification échoue à la première ligne divergente.
| Champ | Objet |
|---|---|
| sequence | Compteur monotone par session. Append-only, appliqué au niveau de la base de données. |
| prev_hash | SHA-256 du hachage canonique de l'événement précédent. Le premier événement utilise un préfixe entièrement à zéro. |
| payload_jsonb | Données d'événement en JSON canonique. Clés triées, sans espaces — pour que le hachage soit reproductible. |
| hash | SHA-256 sur (sequence ‖ prev_hash ‖ kind ‖ payload canonique ‖ occurred_at). |
| occurred_at | Horodaté sur le serveur. Les horloges clientes ne déterminent pas l'ordre. |
Ancrage multi-backends
À la fin de la session, la tête de chaîne est soumise en parallèle à deux autorités d'horodatage indépendantes. Une panne ne casse pas la preuve — le vérificateur accepte tout jeton dont le recoupement backend est validé.
Ancre sur registre public
La tête de chaîne est inscrite dans un smart contract sur Tezos. La finalité intervient en 15–20 minutes ; le reçu porte le hachage + la profondeur du bloc. Quiconque dispose de la tête de chaîne de la session peut vérifier contre le registre public sans notre coopération.
Horodatage qualifié
Requête d'horodatage synchrone à une TSA qualifiée — DataSure (qualifiée ANSSI, eIDAS Art. 42) sur les déploiements gérés, ou FreeTSA pour les pilotes auto-hébergés. Le TSR est un jeton ASN.1 signé que tout vérificateur RFC 3161 peut valider hors ligne.
L'interface backend est interchangeable — Sectigo, DigiCert, OpenTimestamps et d'autres TSP qualifiés s'intègrent avec un simple changement de configuration. Les clients sur déploiements gérés héritent de DataSure ; les opérateurs en auto-hébergement choisissent le leur.
À quoi ressemble la vérification
Chaque session est livrée avec une URL de vérification publique (épinglée par HMAC, expirant sous 90 jours). L'auditeur l'ouvre, voit la tête de chaîne, les reçus TSA et un contrôle d'intégrité de la chaîne — sans connexion, sans clé API, sans outillage particulier. Le vérificateur recalcule le hachage de chaque ligne d'événement et recoupe les témoins TSA ; les deux doivent réussir.
| Contrôle | Ce qu'il prouve |
|---|---|
| chain_integrity.ok | Le hachage de chaque ligne correspond au hachage recalculé. Aucune ligne intermédiaire n'a été modifiée. |
| tokens[].ok | Chaque reçu TSA se recoupe avec la tête de chaîne qu'il prétend ancrer. |
| event_count | Comparé au décompte que l'opérateur a vu à la clôture — détecte la troncature. |
| issuing_org_name | Identité de l'organisation qui a mené la session — pour le dossier de l'auditeur. |
Pourquoi cela compte devant un tribunal
L'article 42 d'eIDAS établit une présomption légale pour les horodatages électroniques qualifiés devant les tribunaux de l'UE — un tribunal doit accepter l'horodatage comme authentique à moins que la partie adverse ne prouve le contraire. Associez cela à une chaîne de hachage immuable sur les événements de la session et la charge de la preuve s'inverse : au lieu de « nous avons enregistré ceci, croyez-nous sur parole », vous disposez d'un témoin cryptographique indépendant de nous, indépendant de vous, et vérifiable des années plus tard sans faire confiance à aucune des deux parties.
Voyez une chaîne que vous pouvez triturer
Le seeder de démonstration crée une vraie session avec une vraie chaîne d'audit ancrée auprès de vraies TSA. Obtenez une URL de vérification publique, changez un octet dans le journal d'événements, et regardez la preuve casser.