Le juge des sorties, qui refuse par défaut
Dites ce qu'il a le droit de joindre. Signez-le. Puis refusez le reste.
Un manifeste déclaré à la construction, et signé. Chaque action sortante jugée face à lui à l'exécution, et chaque décision écrite dans une chaîne qui se vérifie hors ligne.
Code consultable (BUSL‑1.1, Apache‑2.0 en 2030) · BLAKE3 à clé · Ed25519 en option pour un auditeur
Ce que c'est
Une liste d'autorisations ne vaut que ce qui l'a signée.
Tout le monde note quels services sa charge de travail a le droit d'appeler. Presque personne ne peut montrer, après coup, que la liste appliquée était bien celle qui avait été approuvée.
Pimatika prend cette liste, exige qu'elle soit signée, et refuse de démarrer sans elle. Dès lors, chaque action sortante est confrontée à ce document précis — et l'empreinte du document voyage dans chaque décision produite.
Le nom est en lingala : pima, refuser ; tika, autoriser. Dans cet ordre, parce que le défaut est le refus.
Le manifeste
Un document de construction, qu'une personne doit finir.
Chaque destination autorisée nomme plus qu'un hôte : quelles méthodes, quelle taille de charge utile, quelle classe de données, et pour quoi faire. Un brouillon qui porte encore HUMAN_REQUIRED est refusé au chargement.
Le refus n'est pas un défaut modifiable
La politique de sortie du manifeste doit valoir DENY. Toute autre valeur et le fichier ne se charge pas — il n'existe aucun mode permissif dans lequel glisser.
La finalité fait partie de la comparaison
Une destination autorisée pour de la télémétrie ne l'est pas pour exporter des données clients. La finalité et la classe de données sont comparées, pas décoratives.
Signé, et vérifiable par un tiers
BLAKE3 à clé par défaut, avec une signature Ed25519 optionnelle pour qu'un auditeur puisse vérifier sans détenir votre secret.
Le refus
Chaque refus dit de quel refus il s'agit.
Pas « bloqué ». Une valeur nommée sur laquelle une barrière peut se brancher et qu'un auditeur peut compter — et la phrase à côté peut être reformulée sans casser ni l'un ni l'autre.
Le dernier est le plus intéressant. Une action autorisée dont l'enregistrement n'a pas pu être écrit est refusée quet même. Une permission dont personne ne peut prouver qu'elle a été accordée vaut moins qu'un refus.
Les identifiants n'atteignent jamais l'enregistrement. Une destination portant un utilisateur, une chaîne de requête ou un fragment est nettoyée avant d'être écrite ou rapportée.
L'enregistrement
Chaque décision, chaînée là où elle a été prise.
Autorisées comme refusées. Chaque entrée est liée à la précédente, signée, et porte l'empreinte du manifeste face auquel elle a été jugée.
La chaîne est une chaîne Litatoli , elle se vérifie donc avec les mêmes outils ouverts que tout le reste de la maison — hors ligne, sans serveur dans la boucle et sans permission de notre part.
Un comportement qui s'écarte de l'intention signée est accumulé et remonté comme une proposition, plutôt que bloqué en silence. Deux niveaux d'escalade sont dans le moteur consultable ; les seuils ajustés pour la production sont la partie payante.
Limites
Ce que Pimatika ne peut pas faire, dans ses propres mots.
Ce produit vend des refus. Il ferait une mauvaise réclame pour lui-même s'il restait vague sur les siens.
C'est un juge, pas un relais
Il ne transporte jamais la requête. Il répond autorisé ou refusé, et c'est le processus hôte qui honore cette réponse.
La version 1 est coopérative
L'application se fait au point d'appel. Un programme qui contourne l'interface peut encore ouvrir une connexion — l'impossibilité au niveau du noyau, c'est la version 2, pas une promesse d'aujourd'hui.
Des noms, pas des adresses
Les destinations sont comparées comme des chaînes exactes. L'épinglage DNS est hors périmètre en v1, et une redirection est une nouvelle destination que l'appelant doit soumettre à nouveau.
Faites-le tourner sous NaZelo et la limite coopérative se resserre : le bac à sable donne à la charge de travail un réseau à elle, et ce qu'elle peut joindre cesse de dépendre uniquement de sa bonne volonté.
Tarifs
Par organisation. Pas à la décision.
Un juge à qui on facture chaque jugement est un juge qu'on coupe le jour où ça presse. L'unité, c'est le parc, comme pour les moteurs voisins.
Prism
- Le moteur et la ligne de commete
- Signez et vérifiez vos propres manifestes
- L'enregistrement complet des décisions
- Niveaux d'écart un et deux
Alchemy
- Tout Prism
- Signature gérée et rotation des clés
- Seuils d'écart ajustés
- L'export que lit un auditeur
Harmony
- Tout Alchemy
- Parc — quel manifeste chaque charge de travail applique
- Modèles de manifeste par secteur
- Cloisonnement par équipe
Sovereignty
- Tout Harmony
- Déploiement dédié dans votre région
- SLA sur mesure
- Support contractuel
Vendus ensemble
Décidé, appliqué, scellé.
Pimatika décide. NaZelo l'exécute sous contrainte. Litatoli scelle ce qui en sort. Chacun se vend seul ; ensemble, ils coûtent un tiers de moins.
NaZelo Policy
Pimatika + NaZelo — décidé et appliqué, sans chaîne scellée.
NaZelo Trust
Les trois. Décidé, appliqué, scellé — la garantie entière.
Tout seul
Pimatika gouverne très bien une charge de travail ordinaire. L'offre groupée sert quet l'exécution doit aussi appliquer la décision.
L'annuel, c'est dix mois. Les offres groupées commencent en Alchemy ; le palier gratuit vaut pour un moteur à la fois.
Tarifs de lancement. Si une offre ne convient pas à votre situation, dites-le — nous préférons l'entendre maintenant que le modéliser.