Signer, relier, publier

On nous demande souvent si nos preuves sont « sur la blockchain ».

La réponse est non, aujourd’hui. Et ce n’est pas un retard : c’est un ordre de travail.

Un système de preuve fait trois choses différentes, qu’on confond parce qu’on les vend ensemble. Il garantit qu’un document n’a pas changé. Il relie ce document aux autres. Et il fait constater son existence par un tiers.

Trois problèmes distincts. Trois outils distincts. Trois moments distincts.

Signer

C’est le socle, et c’est actif depuis le début.

Chaque attestation est réduite à une empreinte, et cette empreinte est signée. Deux conséquences immédiates : si un seul caractère du document change, l’empreinte change et la signature ne correspond plus ; et cette signature ne peut être produite que par le détenteur de la clé.

Intégrité, origine.

C’est peu spectaculaire, et c’est déjà plus que ce que garantit l’immense majorité des documents qui circulent dans une filière. Un PDF se retouche. Un tableur se réécrit. Une attestation scannée ne dit rien de la version qu’on n’a pas scannée. Personne, aujourd’hui, ne peut prouver que le fichier reçu en mars est celui qui a été émis en février.

Nous avons un script qui repasse périodiquement sur les attestations stockées pour vérifier que leur contenu correspond toujours à leur empreinte. C’est la première chose qui casse quand quelque chose dérive quelque part — un format qui change, une clé qu’on remplace, une migration mal faite. Il vaut mieux qu’un test le dise que de le découvrir devant un contrôleur.

Coût de cette étape : à peu près nul. C’est pourquoi elle vient en premier.

Relier

C’est là qu’est le travail réel, et c’est là que les systèmes échouent.

Une attestation isolée ne prouve pas un chemin. Elle garantit une pièce ; elle ne dit rien de ce qui s’est passé entre deux pièces. Or ce qu’on cherche, quand on cherche vraiment, ce n’est presque jamais la validité d’un document : c’est la relation entre les documents. D’où vient ce lot. Ce qui a été mélangé avec quoi. Quel maillon manque.

Un registre plat répond mal à ces questions : il faut les poser une par une, et il faut déjà savoir laquelle poser. Une structure de graphe y répond nativement, et surtout elle permet de voir ce qui n’est pas là — un chemin interrompu, un nœud sans antécédent, une jointure que rien n’établit. C’est un chantier en cours chez nous, pas une case cochée.

Il faut ajouter tout de suite ce qui limite l’exercice, parce que nous l’avons écrit ailleurs : entre deux enregistrements qui ne se touchent pas, quelque chose doit décider qu’ils vont ensemble. Ce rapprochement est utile, souvent juste, et il n’a pas été constaté. Un graphe rend les relations interrogeables ; il ne les rend pas vraies. Aucune signature, aucun horodatage, aucune chaîne ne fabrique une relation que personne n’a observée.

Publier

Reste une chose que ni la signature ni le graphe ne donnent : la preuve du quand, opposable à celui qui tient le registre.

Nos attestations portent une date. Elle est enregistrée par notre système, sous notre contrôle. Si vous nous faites confiance, elle vaut. Sinon, elle ne vaut rien : rien, dans l’objet lui-même, n’empêche le teneur du registre de raconter une autre chronologie. C’est la question que nous avons posée ailleurs, et l’ancrage en est la réponse technique — à celle-là, et à aucune autre.

Publier une empreinte dans un registre public qu’on ne contrôle pas, c’est appeler un témoin. Un témoin sans intelligence : il ne sait pas ce qu’est un lait, il ne vérifie rien du contenu, il note qu’à telle heure quelqu’un a publié telle chaîne de caractères, et il ne peut plus être contredit ensuite — y compris par celui qui a publié.

Voilà exactement ce que ça résout.

Et voilà tout ce que ça résout.

Les critiques faites à ces registres sont largement fondées : coût, consommation, effet de mode, promesses disproportionnées. Il faut y ajouter le malentendu le plus tenace, qui survit à toutes les mises au point : ancrer une donnée fausse ne la rend pas vraie. Elle la rend inaltérablement fausse. Une chaîne horodate ce qu’on lui donne, y compris une erreur, y compris un mensonge — et elle lui prête ensuite l’autorité qu’on associe à l’immuable.

À quel moment

Tant qu’un système documente, la signature et le graphe suffisent. Celui qui doute peut recalculer une empreinte, suivre un chemin, constater un trou. Il n’a pas besoin d’un registre extérieur pour cela : il a besoin que les pièces soient vérifiables et que les relations soient lisibles.

Le besoin change de nature dès qu’on crée quelque chose de transférable — un droit, un crédit, une valeur qui change de mains.

À ce moment, l’ordre des événements cesse d’être une commodité de lecture. Il décide qui possède quoi. Et il devient indispensable qu’un tiers puisse nous contredire, nous, sur cet ordre — parce que nous ne pouvons pas être à la fois celui qui émet et celui qui atteste de la date d’émission.

C’est à cette échéance que nous rattachons l’ancrage. Pas à une feuille de route commerciale.

Le code existe : le pilote est écrit, couvert par des tests, avec un réseau de développement local dans le dépôt pour l’éprouver. Ce qui manque n’est pas le code. C’est un chemin de vérification qu’un tiers puisse parcourir seul, sans nous demander la permission ni le mode d’emploi. Une transaction que personne ne consulte, dans un registre que personne ne sait interroger, ne prouve rien à personne. Elle décore.

Ce que vous pouvez faire aujourd’hui

Chaque preuve a une page publique, adressée par son empreinte.

Cette page n’interroge aucune chaîne — c’est explicite dans le code qui la sert. Elle recalcule : la signature, l’empreinte du contenu, et l’inclusion de cette empreinte dans le lot qui la contient. Elle rend le résultat en clair.

Vous pouvez donc vérifier qu’un document n’a pas été modifié après coup, et savoir qui l’a signé.

Vous ne pouvez pas prouver contre nous la date à laquelle nous l’avons fait.

C’est la ligne exacte entre ce que nous tenons et ce que nous ne tenons pas encore. Il vaut mieux qu’elle soit écrite quelque part que découverte par quelqu’un.

Une correction, au passage

En comptant les occurrences du mot sur notre propre site, nous en avons trouvé dix-sept qui affirmaient un ancrage effectif. L’une nommait même un réseau de test, à un producteur en train de signer son lot. Une autre promettait une chronologie « opposable » — précisément la propriété qui manque.

Elles ont été corrigées.

Un site qui vend la traçabilité ne corrige pas sa propre trace en silence.

Signer coûte peu et sert immédiatement.

Relier coûte cher et sert le plus.

Publier ne sert qu’à une seule chose — mais ce jour-là, rien d’autre ne la remplace.