Le socle technique

01 — La règle de cette page

Chaque affirmation portée ici porte l’adresse qui permet de la contredire.

Une page technique se lit d’ordinaire sur parole : elle énumère des composants que personne d’extérieur ne verra jamais tourner. Nous pourrions publier une sortie de terminal ; elle ne prouverait rien. Une sortie recopiée est une déclaration — précisément ce que nous refusons de compter comme preuve quand elle vient de quelqu’un d’autre.

Ce qui est vérifiable, en revanche, c’est ce que nos serveurs répondent. Chaque section ci-dessous porte donc des URL publiques, ouvrables sans compte, depuis un navigateur ou par un agent. Nous annonçons à chaque fois ce que la réponse doit contenir : si elle ne le contient pas, c’est nous qui avons tort.

Deux conséquences assumées. Rien n’est affirmé ici qui ne soit pas ouvrable — le reste de notre exploitation existe et n’a pas sa place sur une page publique, non par pudeur mais parce qu’une affirmation invérifiable n’aurait rien à y faire. Et le dernier chapitre liste ce qui ne tourne pas, daté : une page de ce genre sans chapitre de limites est une plaquette.

02 — Ce qu’une machine peut lire sans nous demander

Un agent qui nous découvre n’a rien à deviner : la carte du site, le corpus entier, le vocabulaire et le catalogue d’API sont publiés dans des formats faits pour lui.

Un modèle qui nous résume aujourd’hui le fait en lisant des pages écrites pour des humains, puis en inférant le reste. Il y arrive souvent, et l’inférence n’est jamais garantie. Nous publions donc les mêmes faits sous une forme qui n’a pas besoin d’être devinée.

/llms.txt est la carte — les pages d’entrée, le vocabulaire à lire avant de nous paraphraser, la politique d’indexation du Registre. /llms-full.txt est le texte : le corpus complet en Markdown, environ un mégaoctet, articles entiers et positions comprises. Ni l’un ni l’autre n’est écrit à la main : ce qui s’énumère y est dérivé des mêmes registres que le site, parce que la version précédente de ce fichier annonçait des chiffres qui n’avaient plus aucun rapport avec le code.

Le vocabulaire est publié en RDF sur 3 espaces de noms, avec négociation de contenu sur l’en-tête Accept : Turtle par défaut, JSON-LD sur demande, et une redirection vers le lexique pour un navigateur. Chaque terme porte un IRI stable, et les articles du blog pointent leur schema:about vers ces mêmes IRI — un essai et la page produit qui met en œuvre la notion résolvent vers un identifiant, pas vers deux textes qu’il faudrait rapprocher.

Trois documents de découverte standard complètent l’ensemble, aux adresses que leurs RFC imposent : un catalogue d’API (RFC 9727, sérialisé en linkset RFC 9264), une description de jeu de données VoID, et un descripteur de résolveur GS1. Aucun n’est décoratif — le catalogue n’émet une entrée que si la spécification qu’elle référence est réellement présente sur le disque, un catalogue qui pointe vers un 404 coûtant plus cher qu’un catalogue incomplet.

03 — Les contrats d’API

Nos spécifications OpenAPI ne documentent pas le code après coup : elles en sont la source, et un garde fait échouer la compilation quand les deux divergent.

Une spécification tenue à la main dérive, toujours, et dérive en silence — c’est le mode d’échec normal de la documentation d’API. Les nôtres sont donc traitées comme du code : chaque YAML canonique a un artefact TypeScript engendré et versionné, et un test régénère l’artefact en mémoire pour le comparer octet à octet à celui qui est committé. Modifier la spécification sans régénérer met la branche au rouge.

La spécification publique est servie telle quelle, environ 110 Ko : passeport consommateur, GS1 Digital Link, vérification, EPCIS 2.0. Un intégrateur n’a pas à nous écrire pour l’obtenir, et un agent la trouve seul depuis le catalogue du chapitre précédent.

La page des intégrations affiche pour chaque connecteur un statut réel — en service, en bêta, à venir — plutôt qu’un mur de logos. C’est moins flatteur et c’est le seul état qui se vérifie : un logo affirme une relation commerciale, un statut affirme qu’un client HTTP existe.

04 — Le corpus public

Le Registre, le blog, la doctrine et le lexique ne sont pas quatre contenus : c’est une seule matière, où la même notion porte le même identifiant.

Le Registre est la plus grande surface publique du site : une page par entreprise de la filière alimentaire française, construite exclusivement sur des sources ouvertes — répertoire SIRENE, Base Adresse Nationale, RNE, BODACC, OpenStreetMap, registres européens d’appellations — et qui déclare ses sources sur chaque fiche. Plus d’un million de fiches, consultables sans compte, réclamables gratuitement par l’entreprise concernée. Personne n’a levé la main pour y figurer : c’est un pouvoir, pas une faveur, et nous le traitons comme tel au chapitre 05 de la doctrine.

Le blog porte 138 articles longs, la doctrine 8 positions à ancres stables, le lexique 63 définitions canoniques. Le lien entre les trois n’est pas éditorial mais technique : les articles déclarent les notions qu’ils travaillent, la doctrine cite les articles qui l’établissent, et un test refuse la compilation si une position cite un article ou un terme qui n’existe plus. Une page de doctrine dont les renvois pourrissent est pire qu’une page absente.

Le lexique existe parce que plusieurs de nos mots sont assez proches pour être confondus, et que les confondre produit des affirmations assurées et fausses. Les quatre scores en sont l’exemple le plus coûteux : l’indice de confiance note un acteur, le score de transparence mesure ce qu’un producteur expose, le score de preuve ne fait qu’ordonner une liste de résultats, et le capital de confiance est un volume. Ils ne sont pas interchangeables et peuvent diverger pour une même entreprise.

05 — L’application

La même donnée de traçabilité est rendue dans le vocabulaire de chaque métier, plutôt que dans un vocabulaire moyen que personne ne parle.

Un boulanger, un vigneron, un grossiste et une cantine ne décrivent pas les mêmes objets et n’appellent pas les mêmes choses par les mêmes noms. 25 espaces métier existent, chacun avec ses écrans et ses mots, au-dessus des mêmes enregistrements ; 13 d’entre eux ont une page publique. L’interface est servie en 11 langues, le français étant la langue source ; les traductions dans 53 autres langues existent mais attendent une relecture humaine avant d’être publiées.

Toutes ces surfaces ne se valent pas, et la page des limites le dit. Ce qui se vérifie depuis l’extérieur, sans compte : le parcours de découverte, les assistants d’aide à la conformité, et le fonctionnement général — c’est-à-dire ce qui est listé ci-contre.

06 — La preuve, concrètement

Signer, relier et publier sont trois opérations distinctes : deux tournent, et nous déclarons que la troisième n’est pas active.

Un enregistrement est sérialisé sous une forme canonique — même contenu, même octets, quel que soit l’ordre des champs — puis signé en Ed25519 et haché. Les empreintes sont regroupées par lots dans un arbre de Merkle, dont la racine résume l’ensemble. N’importe quelle pièce se re-vérifie depuis son empreinte seule, sans nous redemander la donnée.

Cette mécanique répond à une question et à une seule : la pièce a-t-elle changé depuis son enregistrement ? Elle ne dit rien de la véracité de ce qui a été enregistré, et rien de la date opposable — une date que nous produisons ne vaut que si vous nous faites confiance. C’est l’objet du troisième verbe, publier, qui n’est pas actif : le pilote d’ancrage est enfichable, et la phase en cours écrit hors chaîne. Nous préférons l’écrire ici que le laisser entendre ailleurs.

Un contrôle de non-régression rejoue les charges stockées contre leurs empreintes et échoue si l’une d’elles ne correspond plus. Il n’est pas périodique : il se lance avant toute modification de la sérialisation canonique ou des enveloppes de signature, et avant une rotation de clé — c’est-à-dire aux trois moments où une dérive resterait sinon invisible jusqu’au jour où quelqu’un demanderait une vérification.

07 — L’exploitation

Ce qui tourne est ce que le dépôt décrit : l’état du cluster est réconcilié depuis git, pas posé à la main sur les machines.

Le déploiement est déclaratif : l’état du cluster est réconcilié en continu depuis le dépôt, et une modification appliquée à la main sur une machine est ramenée à l’état déclaré plutôt que conservée. La propriété qui compte pour un lecteur extérieur n’est pas que la production soit à jour — l’image en service peut être en retard de quelques commits sur la branche principale, et c’est fréquent. C’est qu’à tout instant, ce qui tourne est nommé dans un fichier versionné, y compris l’identifiant de l’image, plutôt que dans la mémoire de quelqu’un.

La sonde publique est volontairement pauvre — elle répond { ok: true } et une horodate, sans toucher au disque ni interroger le moindre tiers. C’est délibéré et c’est contre-intuitif : une sonde qui vérifierait ses dépendances ferait redémarrer le service au premier hoquet d’un fournisseur externe. Elle atteste que le processus répond, ce qui est exactement ce qu’une sonde doit attester.

Le reste — la topologie, les secrets, les sauvegardes, les runners d’intégration continue — existe et ne sera pas décrit ici. Non par pudeur : parce que rien de tout cela ne se vérifie depuis l’extérieur, et que cette page a fait le choix de ne rien affirmer d’invérifiable.

Ce que nous déclarons

Ce qui suit ne s’ouvre à aucune adresse : c’est notre parole, et nous la marquons comme telle.

Le reste du site oppose partout la donnée déclarée à la donnée observée, et refuse qu’on présente la première pour la seconde. Nous nous appliquons la règle. Ce bloc existe parce que ce qui convaincrait le plus — l’exploitation — est précisément ce qui ne s’ouvre pas dans un navigateur ; le publier sans l’étiqueter aurait coûté plus que le silence. Vous n’êtes pas tenu de nous croire, et rien ici ne dépend de ce que vous en ferez : les sections au-dessus tiennent seules. État au 18 août 2026.

Ce qui ne tourne pas

Sans ce chapitre, les sept précédents ne valent rien.

Liste relue le 18 août 2026. Elle ne peut que rétrécir : une limite levée se retire d’ici, elle ne s’y nuance pas.