Le sign-off

01Du travail de revue à une attestation vérifiable #sec_8d4f2185

Dans une revue d'accès, terminer une liste de décisions ne suffit pas. Il faut pouvoir établir, plus tard, quel périmètre a été examiné, selon quelle politique, par qui, avec quelles décisions et dans quelles conditions . Le sign-off est la fonction qui transforme un travail de revue terminé en une attestation durable.

Les décisions appartiennent au déroulement de la campagne ; l'attestation appartient au registre de preuve. Elle ne remplace pas le jugement du relecteur et ne le corrige pas. Elle en fige le résultat, le contexte et la provenance dans une forme qui peut être vérifiée sans réinterpréter l'état courant du système .

L'unité probante n'est pas la décision : c'est le périmètre . REVIEWIT raisonne par lot de revue — la part confiée à un relecteur pour une campagne donnée. L'attestation scelle le périmètre complet du lot en même temps que les décisions rendues, ce qui ferme la contestation d'audit la plus difficile à réfuter : « cet élément-là, je ne l'ai jamais vu ».

02Deux actes qu'il ne faut pas confondre #sec_5d9170c3

Une campagne se termine parce qu'une échéance arrive : c'est un fait temporel , et le système le constate seul. Quelqu'un se prononce sur ce qui a été revu : c'est un acte formel , et il appartient à une personne.

REVIEWIT sépare strictement les deux, et la conséquence est explicite : le système ne signe jamais . Aucune expiration, aucune passe de fond, aucune règle de clôture ne produit une signature au nom de personne.

Ce qu'une clôture d'office produit, lorsque la campagne l'a prévu, ce sont des décisions d'origine « règle » — identifiées comme telles, avec la règle appliquée et son origine non humaine. Elles entrent dans l'attestation comme les autres, mais elles ne se déguisent jamais en jugement humain.

Cette séparation a un coût, et il est assumé : une campagne peut se terminer sans que personne n'ait signé. Le produit préfère l'afficher — une couverture chiffrée honnête, y compris le nombre de lots non attestés — plutôt qu'inscrire une attestation que personne n'assume.

03On ne signe pas ce qui peut encore être contesté #sec_4647db05

Une décision de revue peut être contestée par la personne qu'elle affecte, pendant une fenêtre ouverte après la décision. Signer avant la fin de cette fenêtre reviendrait à sceller un résultat qu'une contestation recevable peut encore faire bouger.

Le sign-off de campagne attend donc la fin de la période de contestation , calculée en jours ouvrés à partir des règles de la campagne. La fenêtre est affichée : le produit dit jusqu'à quand il faut patienter, plutôt que de refuser sans motif.

Une exception, et une seule : si la campagne n'a rien produit de contestable, il n'y a rien à attendre.

En sens inverse, une contestation reçue après un scellement ne réécrit rien. Elle produit du travail nouveau, donc de nouvelles décisions, donc une attestation de plus — que le rang suivant agrégera.

04Ce qui est figé au moment du sign-off #sec_6d93f41e

Le sign-off prend un instantané de scellement . À partir de cet instant, la construction de la preuve ne relit plus les référentiels vivants : elle travaille exclusivement avec les éléments figés.

L'instantané réunit notamment :

• le périmètre exact du lot et l'empreinte de la collecte de référence ;
• les décisions, leur origine — humaine ou née d'une règle — et les règles par défaut effectivement appliquées ;
• la version de politique figée à l'armement de la campagne, avec ses critères ;
• l'identité du décideur et, lorsqu'elle est distincte, celle de la personne qui a signé ;
• le mode de clôture retenu par la campagne ;
• les versions de format nécessaires à une vérification future.

Cette photographie protège la preuve contre les changements postérieurs. Un utilisateur peut être renommé, une politique remplacée, un référentiel actualisé : l'attestation continue de raconter ce qui était vrai au moment de la clôture.

Deux catégories sont traitées explicitement plutôt que passées sous silence. Un élément non décidé est compté et déclaré ; il n'est pas haché comme une décision qui n'existe pas. Un élément sorti du périmètre — annulé, ou expiré en attente — ne compte ni dans l'avancement, ni dans l'éligibilité, ni dans le périmètre attesté ; il reste listé.

Le lot passe alors par un état de scellement explicite : il est gelé, aucune décision ne peut être modifiée et aucun élément ne peut être ajouté. Cet état n'est jamais présenté comme une attestation terminée. Soit la construction aboutit, soit elle reprend de manière déterministe à partir du même instantané — une reprise redonne exactement la même preuve.

05Une preuve d'intégrité sans divulguer tout le lot #sec_ad54210d

L'attestation engage séparément deux ensembles : le périmètre examiné et les décisions rendues. REVIEWIT les représente sous forme d'arbres d'intégrité. Leur racine agit comme une empreinte compacte : modifier un élément, en retirer un ou changer une décision produit une racine différente.

Ce mécanisme permet une vérification ciblée. Un auditeur peut recevoir la preuve qu'un élément précis appartenait au lot et portait une décision donnée, sans que tout le contenu de la campagne soit divulgué . Les secrets qui rendent cette preuve possible sont fournis par SEAL et ne sont jamais exposés.

06Du lot à la campagne : constater la couverture #sec_5f556982

Chaque relecteur atteste sa part. Restait la question du dessus : ces parts couvrent-elles le périmètre de la campagne ?

C'est l'objet de la clôture probante de campagne . Elle agrège les attestations existantes, et — pour les éléments qu'aucune attestation ne couvre — la décision courante, hachée exactement comme les autres. Elle inscrit des chiffres : nombre de lots, nombre d'attestations, nombre de lots non attestés.

Elle constate la couverture, elle ne l'exige pas. Un refus de clore tant que tout n'est pas attesté ne dirait jamais rien d'une campagne réelle ; un chiffre honnête, si. Le seul refus est le cas vide : une campagne dont rien n'a été attesté et dont aucune décision n'existe n'a rien à sceller.

Une règle de fond, en revanche, ne se négocie pas : on ne clôt pas un périmètre qui bouge encore . Une vague visée doit être terminée ; une campagne entière exige que toutes ses vagues le soient.

07Rectifier sans réécrire : le rang #sec_d12e5b19

Une preuve scellée ne se corrige pas. Elle se complète .

Lorsque des attestations arrivent après une clôture — une contestation traitée, un relecteur en retard —, REVIEWIT ne touche pas au rang existant : il en prononce un nouveau , sur le même périmètre. Les rangs se comptent par périmètre : une campagne entière et chacune de ses vagues ont leur propre suite.

Un rang supérieur porte, scellé dans son manifeste , la raison de son existence et l'empreinte du rang qui le précède. La chaîne est donc lisible de bout en bout : chaque rang dit d'où il vient et pourquoi il a été prononcé. Le rang précédent reste intact, vérifiable, et opposable.

08L'ancrage, puis le sceau #sec_25ee923a

L'intégrité d'une attestation se démontre en deux temps, et les deux preuves se composent.

L'ancrage inscrit l'empreinte de l'attestation dans la piste d'audit, dont la chaîne est elle-même infalsifiable. L'invariant est simple : aucune attestation observable ne peut exister sans ancrage de preuve.

Le sceau est émis par une autorité externe au produit , sur un compte distinct. Ce que l'autorité atteste est précis, et il faut le dire tel quel : le rang R du segment S était couvert par un sceau qu'elle a émis . Elle n'atteste pas que telle empreinte occupe ce rang — ce second lien se démontre sur la chaîne, chez le client. Deux preuves indépendantes, qui ne tombent pas ensemble.

Conséquence pratique, et elle compte : un paquet ne se déclare scellé que s'il peut citer son sceau . Tant que le sceau n'est pas là, il se dit ancré — jamais scellé par optimisme.

09Ce que reçoit l'auditeur #sec_5d0c3d07

Le résultat exploitable n'est pas un statut « terminé ». C'est un paquet de vérification cohérent : le manifeste figé, les racines d'intégrité, les feuilles ou les chemins nécessaires, l'état d'ancrage et la citation du sceau.

Trois formes existent, selon la question posée : le paquet complet d'une attestation, la preuve ponctuelle d'un seul élément, et le paquet d'une clôture de campagne .

Ce paquet se vérifie hors ligne, par une fonction pure, sans rien demander à REVIEWIT — c'est la propriété qui fait sa valeur. Un outil de vérification indépendant est publié avec son format ; un tiers peut réimplémenter le contrôle à partir de la seule spécification.

Un document lisible accompagne l'attestation. Il est une restitution du manifeste scellé, composé une seule fois, avec sa propre empreinte : il n'est jamais la source de vérité, et toute remise sert la même copie.

Le lecteur peut ainsi répondre à quatre questions :

1. ce périmètre est-il bien celui qui a été confié au relecteur ?
2. les décisions présentées sont-elles celles qui ont été scellées ?
3. qui a décidé, et qui a signé ?
4. sous quelle politique, à quel rang, et selon quel mode la clôture a-t-elle eu lieu ?

La conservation du paquet suit celle de l'attestation. Une preuve ne doit pas survivre à ce qui permet de l'interpréter, et un secret nécessaire à une vérification future ne doit pas disparaître avant elle.

10Ce que le sign-off ne fait pas #sec_7f00df1c

Il ne corrige aucune décision . Il constate ce qui a été décidé, y compris ce qui l'a été par une règle.

Il ne change aucun état de campagne, de lot ou de demande. Le déroulement appartient au pipeline ; le sign-off produit une preuve à côté, avec ses rangs et ses états de sceau.

Il n'exécute rien . La frontière est nette et elle est structurante pour la remédiation : le sceau certifie la décision, pas son exécution. Qu'un accès ait été révoqué dans le système d'origine relève d'une autre preuve, et se démontre ailleurs.

Il ne remplace pas la piste d'audit . Il s'y ancre.

11En résumé #sec_1d07a18e

Le sign-off est la frontière entre faire une revue et pouvoir démontrer ce qui a été revu .

Il fige le contexte, sépare l'acte temporel de l'acte formel, n'attribue jamais une signature à une machine, attend que la contestation soit close, rend les reprises déterministes, complète par des rangs au lieu de réécrire — et produit une attestation dont l'intégrité peut être exercée par un tiers , pas seulement affirmée.