Infrastructure civique
Polis Interface
Une infrastructure civique qui traite les données publiques comme quelque chose que l'on vérifie, pas comme quelque chose que l'on croit.
- 6
- Étapes du document déposé à la vérification publique
- 10
- Règles décidant qui voit quoi
- Vérifiées à chaque requête. Dans le doute, refusé.
- 0
- Comptes nécessaires pour vérifier une affirmation
- Chacun revérifie sans demander la permission.
- 0
- Administrations qui l'utilisent aujourd'hui
- Avant déploiement, et cette page le dit.
Ce que c'est
Un graphe de gouvernance, pas un dépotoir de documents
Polis modélise ce qu'une collectivité produit réellement — décisions, promesses, budgets, séances, élus — sous forme de graphe. Chaque affirmation publique de ce graphe pointe vers le document source dont elle vient, et ce document porte la preuve de sa propre intégrité.
Deux interfaces, un seul jeu de données
Une interface de campagne publie un programme. Une couche de redevabilité suit ce même programme face à ce qui a été livré. Les deux lisent les mêmes enregistrements vérifiables : la page des promesses et la page des faits ne peuvent pas diverger pendant que personne ne regarde.
Chaque affirmation a une adresse
« Le conseil a approuvé le budget en mars » n'est pas une phrase dans Polis. C'est un lien vers une décision, qui mène à un document déposé, qui mène à une empreinte, un cachet et un horodatage qu'un inconnu peut revérifier sans demander la permission à qui que ce soit.
Ingénierie
D'où vient réellement la confiance
Quatre pièces méritent d'être nommées, parce que ce sont celles qu'un acheteur public ou un auditeur irait chercher.
- 01
Le journal d'audit est chaîné par hachage dans la transaction d'insertion
Chaque événement stocke l'empreinte de l'événement précédent, calculée et écrite dans la transaction même qui insère la ligne. Deux écrivains en course ne peuvent pas gagner tous les deux.
Un journal d'audit que l'on peut réordonner discrètement après coup ne prouve rien.
- 02
Les documents sont vérifiés, pas seulement déposés
Une empreinte canonique, un cachet électronique façon eIDAS et un horodatage RFC 3161 d'une autorité extérieure voyagent avec le fichier. Les règles de caviardage priment sur la publication : un document peut donc être prouvé authentique sans exposer ce qui doit rester fermé.
Authentique et publiable sont deux questions distinctes. Les systèmes qui y répondent d'un bloc laissent fuir.
- 03
Les contrôles de politique refusent par défaut
Dix modules OPA/Rego décident qui peut lire et écrire quoi. Quand la couche de politique ne peut pas répondre, la requête est refusée plutôt que laissée passer.
La plupart des failles de contrôle d'accès sont un contrôle qui n'a rien renvoyé en silence et qui a été lu comme un oui.
- 04
Un élu ne peut pas marquer sa propre promesse comme tenue
La couche de redevabilité sépare l'acteur qui affirme de l'acteur qui confirme. Un passage au statut tenue enregistre qui a confirmé, et cette personne n'est pas le porteur de la promesse.
L'auto-déclaration est le mode de défaillance habituel d'un suivi de promesses.
eIDAS, RFC 3161, caviardage au format RGPD : la règle est dans le modèle de données, pas dans une annexe de conformité écrite après la construction.
L'honnêteté comme fonctionnalité
L'étiquette de statut fait partie du produit
Dans sa propre documentation, Polis étiquette chaque interface [verifiable], [demonstration/stub] ou [not yet live]. Le pilote simulé annonce dès sa première ligne qu'il est simulé.
- [verifiable]
- Adossé à des données du système. Remontez jusqu'au document source et vérifiez l'empreinte vous-même.
- [demonstration/stub]
- L'écran fonctionne ; derrière, c'est un substitut. Ne bâtissez pas un déploiement autour.
- [not yet live]
- Spécifié et conçu. Pas construit.
Voilà ce qu'une institution devrait exiger en achetant un logiciel, écran par écran. Un fournisseur capable de vous dire lequel de ses écrans est réel, lequel est une démo et lequel est une diapositive vous a donné de quoi planifier.
Preuves
Comment un document devient vérifiable
Il n'y a pas de captures sur cette page — Polis n'est pas déployé, et la capture d'un système non déployé ne prouve rien. Voici la chaîne telle qu'elle est construite : du fichier qu'un agent dépose au verdict qu'un citoyen obtient.
Chaîne de confiance documentaire
fichier source → verdict public
- 01
Document
Une décision, un contrat ou un procès-verbal, exactement tel que déposé.
minutes.pdf
- 02
Canonisation
Les octets sont normalisés en une forme unique, puis hachés. Même fichier, même empreinte, à chaque fois.
sha256 9f3c…21ab
- 03
Cachet
L'organisme émetteur signe l'empreinte, pas le fichier. Cachet électronique façon eIDAS.
e-seal
- 04
Horodatage
Une autorité RFC 3161 atteste que l'empreinte existait à un instant donné.
TSA token
- 05
Registre
Empreinte, cachet et jeton sont consignés ensemble et reliés aux affirmations qui les citent.
registry entry
- 06
Vérification
N'importe qui recalcule l'empreinte du fichier et la compare à l'enregistrement. Aucun compte requis.
verdict: valid
Journal d'audit
chaque ligne porte celle qui la précède
- #0140
document.verified
Procès-verbal accepté ; empreinte, cachet et horodatage écrits.
prev 6b81f4
self 7d2e94
- #0141
promise.linked
Un point du programme est lié à la décision dont il dépend.
prev 7d2e94
self 4a17c0
- #0142
promise.status.changed
Le statut passe à tenue — enregistré avec l'acteur qui confirme, qui n'est pas l'élu.
prev 4a17c0
self c95d3b
Là où une affirmation doit être vérifiable.
Si vous construisez quelque chose où un citoyen, un auditeur ou un régulateur doit pouvoir vérifier l'affirmation plutôt que la croire, c'est exactement la conversation que nous cherchons.