El sign-off

01Del trabajo de revisión a una certificación verificable #sec_8d4f2185

En una revisión de acceso, terminar una lista de decisiones no es suficiente. Es necesario poder establecer, más tarde, qué perímetro se ha examinado, según qué política, por quién, con qué decisiones y en qué condiciones. El sign-off es la función que transforma un trabajo de revisión terminado en una certificación duradera.

Las decisiones pertenecen al desarrollo de la campaña; la certificación pertenece al registro de pruebas. No reemplaza el juicio del revisor y no lo corrige. Fija el resultado, el contexto y la procedencia en una forma que puede ser verificada sin reinterpretar el estado actual del sistema.

La unidad probatoria no es la decisión: es el perímetro. REVIEWIT razona por lote de revisión — la parte confiada a un revisor para una campaña dada. La certificación sella el perímetro completo del lote al mismo tiempo que las decisiones tomadas, lo que cierra la contestación de auditoría más difícil de refutar: «ese elemento, nunca lo vi».

02Dos actos que no deben confundirse #sec_5d9170c3

Una campaña termina porque llega una fecha límite: es un hecho temporal, y el sistema lo constata solo. Alguien se pronuncia sobre lo que se ha revisado: es un acto formal, y pertenece a una persona.

REVIEWIT separa estrictamente los dos, y la consecuencia es explícita: el sistema nunca firma. Ninguna expiración, ninguna pasada de fondo, ninguna regla de cierre produce una firma en nombre de nadie.

Lo que produce un cierre automático, cuando la campaña lo ha previsto, son decisiones de origen «regla» — identificadas como tales, con la regla aplicada y su origen no humano. Entran en la certificación como las demás, pero nunca se disfrazan de juicio humano.

Esta separación tiene un costo, y se asume: una campaña puede terminar sin que nadie haya firmado. El producto prefiere mostrarlo — una cobertura cifrada honesta, incluido el número de lotes no certificados — en lugar de inscribir una certificación que nadie asume.

03No se firma lo que aún puede ser impugnado #sec_4647db05

Una decisión de revisión puede ser impugnada por la persona a la que afecta, durante una ventana abierta después de la decisión. Firmar antes del final de esta ventana equivaldría a sellar un resultado que una impugnación admisible aún puede cambiar.

El sign-off de campaña espera, por lo tanto, el final del período de impugnación, calculado en días hábiles a partir de las reglas de la campaña. La ventana se muestra: el producto dice hasta cuándo hay que esperar, en lugar de rechazar sin motivo.

Una excepción, y solo una: si la campaña no ha producido nada impugnable, no hay nada que esperar.

En sentido inverso, una impugnación recibida después de un sellado no reescribe nada. Produce trabajo nuevo, por lo tanto, nuevas decisiones, por lo tanto, una certificación adicional — que el rango siguiente agregará.

04Lo que se fija en el momento del sign-off #sec_6d93f41e

El sign-off toma una instantánea de sellado. A partir de este instante, la construcción de la prueba ya no releer los referenciales vivos: trabaja exclusivamente con los elementos fijados.

La instantánea reúne, en particular:

• el perímetro exacto del lote y la huella de la recolección de referencia;
• las decisiones, su origen — humano o nacido de una regla — y las reglas por defecto efectivamente aplicadas;
• la versión de política fijada al armamento de la campaña, con sus criterios;
• la identidad del decisor y, cuando es distinta, la de la persona que ha firmado;
• el modo de cierre retenido por la campaña;
• las versiones de formato necesarias para una verificación futura.

Esta fotografía protege la prueba contra los cambios posteriores. Un usuario puede ser renombrado, una política reemplazada, un referencial actualizado: la certificación continúa contando lo que era verdad en el momento del cierre.

Dos categorías son tratadas explícitamente en lugar de pasarse por alto. Un elemento no decidido es contado y declarado; no es hasheado como una decisión que no existe. Un elemento salido del perímetro — anulado, o expirado en espera — no cuenta ni en el avance, ni en la elegibilidad, ni en el perímetro certificado; permanece listado.

El lote pasa entonces por un estado de sellado explícito: está congelado, ninguna decisión puede ser modificada y ningún elemento puede ser añadido. Este estado nunca se presenta como una certificación terminada. O la construcción llega a su fin, o se reanuda de manera determinista a partir de la misma instantánea — una reanudación da exactamente la misma prueba.

05Una prueba de integridad sin divulgar todo el lote #sec_ad54210d

La certificación compromete separadamente dos conjuntos: el perímetro examinado y las decisiones tomadas. REVIEWIT los representa en forma de árboles de integridad. Su raíz actúa como una huella compacta: modificar un elemento, retirar uno o cambiar una decisión produce una raíz diferente.

Este mecanismo permite una verificación dirigida. Un auditor puede recibir la prueba de que un elemento preciso pertenecía al lote y llevaba una decisión dada, sin que todo el contenido de la campaña sea divulgado. Los secretos que hacen posible esta prueba son proporcionados por SEAL y nunca son expuestos.

06Del lote a la campaña: constatar la cobertura #sec_5f556982

Cada revisor certifica su parte. Quedaba la pregunta de arriba: ¿estas partes cubren el perímetro de la campaña?

Es el objeto del cierre probatório de campaña. Agrega las certificaciones existentes y, para los elementos que ninguna certificación cubre, la decisión actual, hasheada exactamente como las demás. Inscribe cifras: número de lotes, número de certificaciones, número de lotes no certificados.

Constata la cobertura, no la exige. Un rechazo de cerrar mientras no todo esté certificado nunca diría nada de una campaña real; un cifra honesto, sí. El único rechazo es el caso vacío: una campaña de la que nada ha sido certificado y de la que ninguna decisión existe no tiene nada que sellar.

Una regla de fondo, en cambio, no se negocia: no se cierra un perímetro que aún se mueve. Una ola dirigida debe estar terminada; una campaña entera exige que todas sus olas lo estén.

07Rectificar sin reescribir: el rango #sec_d12e5b19

Una prueba sellada no se corrige. Se completa.

Cuando llegan atestaciones después de un cierre —una impugnación tratada, un relector con retraso—, REVIEWIT no toca el rango existente: pronuncia uno nuevo, sobre el mismo perímetro. Los rangos se cuentan por perímetro: una campaña entera y cada una de sus oleadas tienen su propia secuencia.

Un rango superior lleva, sellado en su manifiesto, la razón de su existencia y la huella del rango que le precede. La cadena es, por tanto, legible de principio a fin: cada rango dice de dónde viene y por qué se ha pronunciado. El rango anterior permanece intacto, verificable y oponible.

08El anclaje, y luego el sello #sec_25ee923a

La integridad de una atestación se demuestra en dos tiempos, y las dos pruebas se componen.

El anclaje inscribe la huella de la atestación en la pista de auditoría, cuya cadena es a su vez infalsificable. El invariante es simple: ninguna atestación observable puede existir sin anclaje de prueba.

El sello es emitido por una autoridad externa al producto, en una cuenta distinta. Lo que la autoridad atestigua es preciso, y hay que decirlo tal cual: el rango R del segmento S estaba cubierto por un sello que ella emitió. No atestigua que tal huella ocupe ese rango —ese segundo enlace se demuestra en la cadena, en el cliente. Dos pruebas independientes, que no caen juntas.

Consecuencia práctica, y cuenta: un paquete no se declara sellado hasta que puede citar su sello. Mientras el sello no esté ahí, se dice anclado —nunca sellado por optimismo.

09Lo que recibe el auditor #sec_5d0c3d07

El resultado explotable no es un estado «terminado». Es un paquete de verificación coherente: el manifiesto fijado, las raíces de integridad, las hojas o los caminos necesarios, el estado de anclaje y la cita del sello.

Existen tres formas, según la pregunta formulada: el paquete completo de una atestación, la prueba puntual de un solo elemento y el paquete de un cierre de campaña.

Este paquete se verifica fuera de línea, mediante una función pura, sin pedir nada a REVIEWIT —es la propiedad lo que le da valor. Se publica una herramienta de verificación independiente con su formato; un tercero puede volver a implementar el control a partir de la especificación única.

Un documento legible acompaña la atestación. Es una restitución del manifiesto sellado, compuesto una sola vez, con su propia huella: nunca es la fuente de la verdad, y toda entrega sirve a la misma copia.

El lector puede así responder a cuatro preguntas:

1. ¿es este perímetro el que se confió al relector?
2. ¿son las decisiones presentadas las que se sellaron?
3. ¿quién decidió y quién firmó?
4. ¿bajo qué política, en qué rango y según qué modo se llevó a cabo el cierre?

La conservación del paquete sigue la de la atestación. Una prueba no debe sobrevivir a lo que permite interpretarla, y un secreto necesario para una verificación futura no debe desaparecer antes que ella.

10Lo que el sign-off no hace #sec_7f00df1c

No corrige ninguna decisión. Constatar lo que se ha decidido, incluso lo que se ha decidido por una regla.

No cambia ningún estado de campaña, lote o solicitud. El desarrollo pertenece al pipeline; el sign-off produce una prueba al lado, con sus rangos y sus estados de sello.

No ejecuta nada. La frontera es clara y es estructurante para la remediación: el sello certifica la decisión, no su ejecución. Que un acceso haya sido revocado en el sistema de origen pertenece a otra prueba, y se demuestra en otro lugar.

No sustituye a la pista de auditoría. Se ancla en ella.

11En resumen #sec_1d07a18e

El sign-off es la frontera entre hacer una revisión y poder demostrar lo que se ha revisado.

Fija el contexto, separa el acto temporal del acto formal, nunca atribuye una firma a una máquina, espera a que se cierre la impugnación, hace que las repeticiones sean deterministas, completa con rangos en lugar de reescribir —y produce una atestación cuya integridad puede ser ejercida por un tercero, no sólo afirmada.