Ce qui tourne est ce qui a été construit. Et nous pouvons le prouver.

En place avant le lancement

Depuis le 25 octobre 2026, chaque version déployée est construite par un processus automatisé qui en dépose la preuve. Depuis le 1er novembre 2026, une vérification indépendante passe chaque nuit, et chaque nouvelle preuve est conservée cinq ans. Nous l'avons bâti pour nous, avant qu'on nous le demande.

Les empreintes du moment

Ces empreintes sont relues dans le compartiment verrouillé et revérifiées à l'affichage de cette page.

Les 10 dernières versions déployées

Ce qu'est une empreinte

Une empreinte SHA-256 est une suite de 64 caractères calculée à partir d'un fichier. Le même fichier donne toujours la même empreinte ; changer une seule virgule en donne une tout autre. Il est impossible, en pratique, de fabriquer un autre fichier qui ait la même empreinte. Une empreinte publiée engage donc le contenu exact du fichier, sans le révéler.

Chaque preuve est un petit dossier de fichiers accompagné d'un manifeste, qui donne l'empreinte de chacun. L'empreinte publiée ici est celle du manifeste : elle engage tout le dossier.

Ce que nous vérifions chaque nuit

• La version en service est une version prouvée, et sa preuve est intacte.
• Les accès de chaque composant (l'application, la construction, la vérification elle-même et le poste de développement) sont limités à ce dont il a besoin. Plus d'une centaine d'actions sensibles sont soumises au simulateur d'autorisations de notre hébergeur, qui doit les refuser. Rien n'est essayé pour de vrai.
• L'hébergement est celui que nous déclarons : les serveurs de la plateforme, sa base de données, ses fichiers et ses secrets sont à Montréal, et rien de tel n'existe dans une autre région de notre hébergeur ; seule une copie de la clé de chiffrement est à Calgary.
• Les protections sont en place : chiffrement de la base de données et de ses sauvegardes, clé maîtresse et son alarme, conservation des preuves, journaux masqués, accès public fermé.
• Ce que la plateforme montre de l'extérieur, après chaque déploiement : certificat, protocoles, en-têtes de sécurité, pages qui doivent rester fermées.
• Une copie complète du code source est déposée à part, verrouillée elle aussi.

La vérification constate ; elle ne corrige rien d'elle-même. Un écart nouveau est signalé à notre responsable le matin même.

Pourquoi personne ne peut les retoucher

Les preuves sont déposées dans un compartiment de stockage en mode conformité, à Montréal. Dans ce mode, une fois déposé, un fichier ne peut être ni modifié ni effacé avant la fin de sa période de conservation, par aucun compte, y compris le compte principal de notre hébergement. Seul le processus de construction dépose les preuves de version, et seule la vérification de nuit dépose les siennes.

Comment un auditeur les vérifie

1. Il nous demande les preuves d'une version ou d'une nuit, en écrivant à notre responsable de la protection des renseignements personnels (Gouvernance).
2. Nous lui remettons le dossier tel qu'il est conservé.
3. Il calcule l'empreinte SHA-256 du manifeste, par exemple avec sha256sum MANIFEST, et la compare à l'empreinte publiée ici.
4. Il calcule l'empreinte de chaque fichier et la compare à la ligne correspondante du manifeste.

Les preuves ne contiennent aucun renseignement personnel : des empreintes, des versions, des états et des dates.

Ce que ces preuves ne disent pas

Elles établissent ce qui a été construit, ce qui tourne et comment c'est gardé, à des moments précis. Elles ne garantissent pas qu'aucune attaque ne réussira jamais : aucune mesure n'est absolue. Elles permettent en revanche de constater, sans avoir à nous croire sur parole, que la plateforme est restée celle que nous avons construite.