Vérifié
L’état ne peut être présenté comme vérifié que lorsque la preuve correspondante est réellement disponible et qualifiée pour l’objet concerné.
Nova Forge · sécurité publique
La confiance doit rester vérifiable, séparée et révocable.
Cette page décrit uniquement le contrat de sécurité visible de la surface publique Nova Forge. Elle ne révèle aucun mécanisme privé et ne transforme jamais l’absence de preuve en validation.
Chaîne de confiance
Quatre preuves, quatre rôles.
Un artefact ne devient distribuable publiquement que lorsque son identité et les preuves requises peuvent être qualifiées. Chaque élément répond à une question différente.
IdentitéQuel artefact précis est attendu : nom, version et fichier annoncé.
IntégritéLe SHA-256 reçu correspond-il exactement à l’empreinte publiée pour cet artefact ?
ProvenanceLa source et la chaîne de livraison déclarées sont-elles celles qui ont été qualifiées ?
SignatureLorsqu’elle est requise, la signature annoncée est-elle présente et vérifiable ?
Important : une correspondance SHA-256 établit uniquement l’intégrité par rapport à l’empreinte fournie. Elle ne prouve pas à elle seule l’auteur, la licence, la provenance ou l’autorisation de distribution.
États publics
« Inconnu » reste différent de « vérifié ».
Non vérifié
Une preuve manquante, invalide ou non qualifiée ne doit pas être compensée par une hypothèse, une estimation ou un élément d’interface rassurant.
Non applicable
Lorsqu’une preuve n’est pas requise par le contrat de l’artefact, cet état doit être déclaré explicitement plutôt que confondu avec une réussite de vérification.
Preuves publiques disponibles
Ce que la surface actuelle permet de contrôler.
Statut machine-readable
public-status.json déclare la phase publique, les principes actifs et la disponibilité de la distribution. Il reste déclaratif et n’est pas une signature cryptographique.
Manifeste de téléchargements
downloads.json reste verrouillé tant qu’aucun artefact public autorisé ne satisfait le contrat de preuves requis.
Vérification locale
Le vérificateur lit un fichier dans le navigateur et calcule son SHA-256 sans l’exécuter ni l’envoyer à un service Nova Forge distant.
Ouvrir le vérificateurBuild public : lors d’un empaquetage ou d’un déploiement autorisé, la chaîne de livraison génère les empreintes de la surface publique et un manifeste de build sans exposer la révision du dépôt privé.
Limites actuelles
Cette page n’est pas une preuve par elle-même.
Aucun téléchargement public validé
Le manifeste reste en état indisponible. Aucun bouton de téléchargement système ne doit apparaître avant publication d’un artefact autorisé et vérifiable.
Distribution verrouilléeAucune signature du site annoncée
La surface empaquetée dispose d’empreintes SHA-256, mais aucune signature cryptographique du site n’est revendiquée tant qu’une procédure publique réellement vérifiable n’existe pas.
Non annoncéeBackends non connectés
Les fonctions qui nécessitent des services réseau ou système réels restent explicitement non connectées et ne sont pas simulées comme des capacités actives.
Non connecté