Trustvice s'appuie sur Cloudflare pour la plateforme — Workers pour le calcul, R2 pour les exports. Les enregistrements et contenus clients résident sur Cloudflare D1 ou Amazon Web Services RDS, dans la région que vous choisissez à la création de l'espace de travail. Chaque espace de travail dispose de son propre magasin de données rattaché à une région. Nous exploitons bien une console d'administration interne — et chaque action qu'elle effectue sur votre espace de travail inscrit une entrée chaînée par hachage, en ajout seul, dans votre registre Tops. Ajout seul garanti par un déclencheur SQLite, visible par vous, vérifiable de manière indépendante. L'accès administrateur existe. Mais il ne peut jamais être silencieux.
100 %
Des lectures admin atterrissent dans votre registre Tops
20+ régions
Sur Cloudflare D1 + Amazon Web Services RDS, à votre choix
Par locataire
Une base de données par espace de travail, rattachée à une région, jamais partagée
La stack
Cloudflare D1 — base de données (option A)
Enregistrements d'espace de travail, registres d'agents, métadonnées d'exécution lorsque le client choisit Cloudflare comme fournisseur de données. Basée sur SQLite, rattachée à une région à la création de l'espace de travail (l'une des 6 régions mondiales). 10 Go par base de données ; nous en provisionnons une par espace de travail, il n'y a donc pas de base multi-locataire partagée. Liaison de juridiction UE disponible pour une résidence stricte au titre de l'article 44 du RGPD.
Exploitée par Cloudflare. SOC 2 Type II. ISO 27001. ISO 27018.
Amazon Web Services RDS — base de données (option B)
Enregistrements d'espace de travail, registres d'agents, métadonnées d'exécution lorsque le client choisit Amazon Web Services RDS comme fournisseur de données. Postgres managé, rattaché à une région à la création de l'espace de travail (l'une des 13+ régions AWS, dont São Paulo, Le Cap, Mumbai, Tokyo). Une instance Postgres par espace de travail.
Infrastructure Amazon Web Services (Aurora). SOC 1/2/3. ISO 27001.
Cloudflare R2 — stockage d'objets
Bundles d'export (dossiers de preuves TRAIGA, dossiers article 12 de l'EU AI Act, registres JSON bruts). Compatible S3, rattaché à la région correspondant à celle de la base de données de l'espace de travail, zéro frais de sortie. Les buckets sont limités à l'espace de travail ; l'accès se fait par URL signée, jamais par identifiant partagé.
Le dashboard et le site marketing tournent sur Vercel. Aucune donnée client ne transite par Vercel — son rôle est de servir le frontend Next.js en périphérie. L'authentification, les données, la facturation et le calcul sont tous sur Cloudflare et Avonao Billing.
Des contrôles en place dès le premier jour
Registre en ajout seul par construction
Les entrées du registre sont adressées par leur contenu et chaînées. Le hachage de chaque entrée inclut le hachage de l'entrée précédente. Modifier ou supprimer une entrée rompt la chaîne — détectable à la prochaine vérification.
Jetons limités à l'espace de travail, aucune clé API partagée
Les jetons d'ingestion de plugin sont limités à un seul espace de travail. Perdus ou renouvelés, ils n'affectent que cet espace de travail. Les jetons en lecture seule pour auditeurs constituent une portée distincte, sans aucune capacité d'écriture.
Accès aux données axé sur le client
Aucun opérateur Trustvice — support, ingénierie, conformité, direction — ne dispose d'un accès permanent à votre espace de travail, à votre journal d'audit ou aux journaux d'action de vos agents. Chaque lecture côté opérateur passe par l'un de deux chemins, tous deux visibles par vous après coup, tous deux inscrits dans votre propre journal de garde chaîné par hachage. Nous avons la capacité technique d'accéder à tout ; nous sommes tenus par ces politiques et nos conditions de n'utiliser cette capacité qu'à l'intérieur des chemins documentés.
Codifié dans la politique d'audit 37.
Chemin A — Vous approuvez, par défaut
Soit vous accordez de manière proactive au support une fenêtre d'accès limitée dans le temps depuis /app/account/support-access (« J'ai besoin d'aide — veuillez consulter mon espace de travail »), soit vous examinez et approuvez / restreignez / refusez une demande initiée par un administrateur. Les autorisations sont délimitées, limitées dans le temps (15 min – 72 h), plafonnées en nombre de requêtes et révocables instantanément.
Détection de fraude aux normes du secteur
Nous assurons la détection des abus et des fraudes via des fournisseurs externes reconnus dans le secteur, sous contrats de sous-traitance qui les soumettent au même plancher de discipline d'accès — jamais sur la seule base d'une heuristique interne, jamais avec des droits d'entraînement de modèle sur les données client. Chaque fournisseur ne voit que l'enveloppe dont il a besoin (IP, hachage d'appareil, artefact de paiement, signal comportemental) ; aucun ne voit le contenu de l'espace de travail, le contenu du journal d'audit ni le contenu d'action des agents. Chaque signal émis à l'encontre de votre compte est visible par vous sur /app/account/fraud-status — aucun sous-ensemble privé réservé à l'opérateur.
Codifié dans la politique d'audit 38. Divulgation lisible par machine sur /.well-known/fraud-providers.json.
Stripe Radar
Fraude au paiement, risque de rétrofacturation, carte volée, vélocité. Intégré au Avonao Billing checkout hébergé.
Enveloppe
Objet de paiement interne à Stripe
Authentification contrôlée par le client
Passkeys WebAuthn / FIDO2
Liées au matériel ou à la plateforme ; enregistrées à l'inscription, échangeables par la suite. Aucun mot de passe, aucun SMS, aucun secret TOTP susceptible de fuiter.
Sessions énumérables
Chaque session d'appareil + navigateur affichée avec appareil + IP + emplacement + dernière utilisation. Révoquez une seule session ou déconnectez-vous partout en un clic.
Agentic API · pile d'identité
Chaque action accessible depuis REST, MCP, ChatGPT Apps, Gemini, Perplexity, Claude Cowork, A2A, NLWeb ou Claude SKILLs repose sur une couche d'identité cryptographique. Les clients ne saisissent jamais de mot de passe pour authentifier un agent — ils délivrent à l'agent sa propre identité W3C DID Web, la lient à une charge de travail SPIFFE (en option) et lui accordent une autorité explicite via un mandat AP2 Verifiable Credential.
Vue d'ensemble complète de l'agentic APILes mandats sont révocables — et vous n'avez pas à nous croire sur parole. Vérifiez vous-même la révocation d'un mandat — l'opération lit notre Bitstring Status List publiée directement dans votre navigateur, sans compte, sans appel API à qui faire confiance.
Méthode W3C DID Web
did:web:trustvice.com:agents:<id> par agent. Ed25519 (par défaut) ou ES256. Renouvelable et révocable par le client. L'historique de rotation forme une chaîne de hachage (canonisée JCS selon RFC 8785).
W3C DID Core 1.0 · DID Web Method 0.2 · JWK RFC 7517 + RFC 7638
Identité de charge de travail SPIFFE
Domaine de confiance spiffe.trustvice.com. X.509-SVID ou JWT-SVID échangé contre une session Trustvice liée par DPoP de 5 minutes. Fédération limitée à l'espace de travail vis-à-vis des domaines de confiance partenaires.
SPIFFE 1.0 · X.509-SVID · JWT-SVID · Trust Bundle + Federation
Ce que nous ne faisons pas
Une liste de capacités que Trustvice n'a délibérément pas. Chacune est une catégorie d'incident que nous ne pouvons pas provoquer.
Tops · Spot pour Spot
Tops est le registre parallèle qui consigne à la fois ce que notre plateforme fait sur votre espace de travail ET ce que vos acteurs ont observé et décidé. Même chaîne. Même racine de hachage. Des modèles de contrôle différents parce que les exigences de confiance diffèrent — nos actions sont toujours consignées ; les vôtres, c'est à vous de les configurer.
Chaînée par hachage, en ajout seul grâce à un déclencheur SQLite, vérifiable de manière indépendante, exportable sous forme de JSONL signé. Inclus gratuitement à chaque palier — nous ne le vendons pas, car le rendre optionnel irait à l'encontre du but recherché.
Tops d'infrastructure
Toujours actif. Ne peut pas être désactivé.
Chaque action que notre plateforme effectue sur votre espace de travail. 9 types, détail complet par type. Vous pouvez consulter, exporter et vérifier ; vous ne pouvez pas le désactiver. Une transparence optionnelle sur nous-mêmes n'est pas de la transparence.
Objectif : zéro lecture admin en fonctionnement normal.
Divulgation responsable
Les chercheurs en sécurité agissant de bonne foi et signalant via security@trustvice.com bénéficient d'une protection juridique (safe harbour) de la part de Trustvice contre toute action en justice, à condition qu'ils n'accèdent pas à plus de données que nécessaire pour démontrer le problème, qu'ils n'exploitent pas le problème contre d'autres clients et qu'ils nous laissent un délai raisonnable (90 jours) pour remédier avant toute divulgation publique.
La portée complète, les conditions de safe harbour et les SLA de réponse sont publiés dans notre politique de divulgation coordonnée, lisible par machine sur /.well-known/security.txt (empreinte de clé PGP ajoutée avant le lancement public).
Agents, preuves, gouvernance, commerce et divulgation sont dans Trustvice 360. Inscrivez-vous gratuitement et ouvrez toutes les suites depuis un seul tableau de bord.
Exploité par Cloudflare. Même posture de conformité que D1.
Cloudflare Workers — calcul
Point d'entrée d'ingestion de plugin, gestionnaire de webhook Avonao Billing, générateur d'exports, bac à sable de rejeu. Workers sans état ; authentification par requête via des jetons limités à l'espace de travail. Aucun calcul persistant sous notre administration.
Exploités par Cloudflare. Le forfait Workers Paid (5 $/mois) couvre l'ensemble du calcul serverless.
Avonao Billing — paiements uniquement
Toutes les données de paiement. Nous ne voyons jamais les détails de carte. Le Customer Portal gère l'abonnement, le moyen de paiement, l'historique et les achats de packs d'exécution. Signatures de webhook vérifiées. Avonao Billing Tax gère la taxe de vente américaine et la TVA de l'UE.
Exploité par Stripe. PCI DSS Niveau 1.
Les lectures admin atterrissent dans votre registre Tops — et vous contrôlez les types enregistrés
La console d'administration interne existe pour le travail opérationnel légitime — triage d'incidents, rapprochement de facturation, réponse aux abus. Chaque lecture d'un espace de travail client inscrit une entrée Tops en ajout seul, visible par cet espace de travail. Des déclencheurs SQLite imposent l'ajout seul au niveau de la base de données, de sorte que même la console d'administration ne peut réécrire la piste d'audit de ses propres actions. Les 9 types Infrastructure et les 5 types Spot sont configurables par le client pour chaque espace de travail (filtres d'environnement, taux d'échantillonnage, bascules par type) — avec un plancher de coupe-circuit sur les actions qui doivent toujours être enregistrées.
Chemin de données juridictionnel
Choisissez WEUR (Europe) ou ENAM (États-Unis) à la création de l'espace de travail. D1 et R2 sont rattachés à la juridiction sélectionnée ; le calcul Workers est configuré avec les Regional Services pour maintenir le traitement dans la juridiction.
Chiffrement en transit et au repos
TLS 1.3 pour tout le trafic client. D1 et R2 chiffrent au repos avec des clés gérées par le fournisseur ; les clés de signature propres à chaque espace de travail pour les exports sont conservées dans Cloudflare Secrets, accessibles uniquement au Worker de l'espace de travail.
Aucune télémétrie tierce sur les données client
Aucun APM ni outil d'analyse tiers n'a accès au contenu des enregistrements client. Le site marketing utilise Cloudflare Web Analytics (sans cookie) pour les seules pages vues agrégées.
Isolation de base de données par locataire
Une base de données par espace de travail, que vous choisissiez Cloudflare D1 ou Amazon Web Services RDS. Les requêtes inter-locataires sont structurellement impossibles, car il n'existe aucun schéma partagé à interroger. La suppression d'un espace de travail consiste en une suppression de base de données.
Accès du personnel journalisé
Chaque lecture du plan de données par le personnel inscrit une entrée Tops sur l'espace de travail concerné, avec l'identité du membre du personnel, l'horodatage et le motif. La console d'administration s'authentifie via Cloudflare Access + WebAuthn par administrateur + jetons API par administrateur. L'accès administrateur côté fournisseur (admin Cloudflare, admin Avonao Billing) est journalisé chez le fournisseur.
Chemin B — Dérogation légale (exception étroite)
Les assignations, demandes de régulateurs, signalements de sécurité confirmés et signaux de fraude corroborés peuvent autoriser un accès sans votre consentement. La procédure exige trois validations indépendantes assérées par WebAuthn : CISO + Direction juridique + PDG. TTL par défaut de 24 h, maximum 7 j, aucune prolongation silencieuse. Vous êtes notifié — immédiatement ou a posteriori lorsque l'ordonnance du tribunal impose un report. Comptabilisé dans notre rapport annuel de transparence sur /app/support/transparency.
Les journaux aussi vous appartiennent
Le journal d'audit, le journal d'action des agents, les entrées Tops, les entrées de garde, l'historique de facturation, les livraisons de webhooks, les demandes d'export — tous réservés au client par défaut. Les opérateurs peuvent demander une lecture unique d'une surface précise sur une fenêtre temporelle précise ; vous approuvez une fois, la lecture est enregistrée avec un hachage de charge utile inscrit dans votre chaîne de garde, afin que vous puissiez vérifier exactement ce qui a été divulgué.
Vous voyez chaque lecture, signée et ancrée
Chaque session côté opérateur — chemin A ou chemin B — produit un reçu signé (Ed25519) et ancré par OpenTimestamps que vous pouvez télécharger au format PDF et vérifier par rapport à l'ensemble de clés publiques sur https://api.trustvice.com/.well-known/privacy-receipt-keys.json. Vous pouvez opposer votre veto à une session active en un clic ; les vetos pendant les sessions de dérogation légale sont honorés, sauf si l'ordonnance du tribunal elle-même interdit explicitement la résiliation (ce que nous vous signalons).
Sift
Fraude au niveau du compte — prise de contrôle de compte, création de faux comptes, fraude au paiement entre fournisseurs.
Enveloppe
Identifiant de compte (pseudonyme), type d'événement, hachage IP, hachage d'appareil, identifiant de session
Castle
Prise de contrôle de compte, voyage impossible, bourrage d'identifiants.
Enveloppe
Identifiant de compte, IP, empreinte d'appareil, agent utilisateur
Sardine
Signaux KYC + sanctions + PPE (Enterprise, avec le consentement du client).
Enveloppe
Nom, date de naissance, pièce d'identité officielle (avec le consentement du client)
Persona
Vérification de documents KYC + KYB — uniquement à l'onboarding de niveau Enterprise.
Enveloppe
Images de documents + test de vivacité par selfie (avec le consentement du client)
MaxMind minFraud
Risque IP · détection proxy / VPN / TOR · anomalie de géolocalisation.
Enveloppe
Adresse IP
IPQualityScore
E-mail jetable, validation de numéro de téléphone, empreinte IP / appareil.
Enveloppe
Domaine d'e-mail, IP, téléphone (lorsqu'il est fourni)
Contestations — SLA selon la gravité
Chaque signal comporte un CTA « Contester ce signal » en un clic. Nous répondons sous : 24 h pour le niveau critique · 3 jours pour le niveau élevé · 7 jours pour le niveau moyen · 14 jours pour le niveau faible / informatif. La résolution inscrit une entrée de garde dans votre espace de travail ; les actions automatisées délimitées (verrouillage, authentification renforcée, suspension) sont annulées lorsqu'une contestation se résout en votre faveur.
Codes de récupération
Émis une fois, visibles une fois, stockés sur votre appareil. Régénérez à tout moment ; l'ancien jeu est invalidé de manière atomique.
Journal de sécurité par action
Chaque enregistrement de passkey, chaque révocation de session, chaque régénération de code de récupération est consigné dans le journal de sécurité de votre compte — indépendamment de la télémétrie côté opérateur.
Mandats AP2 Verifiable Credential
Autorisation permanente pour la facturation pilotée par l'agent. Plafond de dépense + plafond d'invocations + débit horaire + CIDR IP + empreinte DPoP + facteur d'authentification renforcée — chaque condition appliquée à chaque appel de la passerelle. Révocation BitstringStatusList rafraîchie toutes les 5 minutes.
W3C VC Data Model 2.0 · SD-JWT VC · Data Integrity 1.0 · AP2 baseline
MCP Apps ui.iframe
Modales de confirmation enrichies servies depuis ui.tve.world — zone Cloudflare distincte, CSP stricte, jetons de session d'interface à audience restreinte, nonces émis par l'hôte et renvoyés dans chaque réponse postMessage.
MCP Specification 2025-06-18 · MCP Apps SEP-2025-09
Content credentials C2PA 2.1
Chaque reçu entpoind.attest.content s'accompagne d'un manifeste C2PA 2.1. COSE_Sign1 sur du CBOR déterministe. Contre-signature d'horodatage DigiCert RFC 3161 pour les paliers Pro+. Divulgation du contenu généré par IA injectée automatiquement (EU AI Act art. 50).
C2PA 2.1 · COSE_Sign1 · RFC 8949 deterministic CBOR · RFC 3161
Tops Spot
Contrôlé par le client. Sûr face à un adversaire.
Ce que vos acteurs ont observé, décidé, ignoré, fait changer d'état, dérivé. Configurez la portée de manière hiérarchique : valeur par défaut par organisation, par espace de travail, par acteur. Bascules par type, filtres d'environnement, échantillonnage, niveau de détail. Par défaut sécurisé (hachages + buckets de verdict + codes de motif uniquement).
Le processus de décision, pas seulement le résultat.
Même chaîne, les deux surfaces.
En ajout seul grâce à un déclencheur SQLite. Hachable en arbre de Merkle. Ancrable par Notarian. Le vérificateur contrôle les deux surfaces par rapport à la même racine de hachage. Récupérez l'export, exécutez trustvice verify --tops <file>, confirmez. La chaîne se rompt de manière détectable si quiconque — y compris nous — altère une entrée.
La prise de décision, pas seulement les résultats.
Les journaux d'audit disent « l'agent a refusé la transaction ». Tops indique que l'agent a vu le motif d'entrée X (hachage), que la lentille Y a émis le verdict Z, qu'il a ignoré parce que le motif 0x4 correspondait, que le mode est passé de observer → décider → ignorer. De qualité réglementaire — EU AI Act art. 12 / TRAIGA / NIST AI RMF décrivent le processus de décision, pas le résultat.
L'historique de configuration est lui-même audité.
Chaque modification d'une configuration Tops Spot inscrit une entrée tops_config_change dans la même chaîne. Désactiver Tops Spot pour un espace de travail ? Cela inscrit aussi une entrée. Élever le niveau de détail au niveau forensique ? Cela inscrit une entrée avec les anciennes et les nouvelles valeurs. Vous ne pouvez pas désactiver le surveillant sans laisser une trace de cette désactivation.
Trustvice 360