VIGIL — Souveraineté
Déploiement, clés et révocation
Le modèle de souveraineté est concret. L’institution contrôle le matériel, les clés, les cibles, les journaux, les preuves et les rapports. Le rôle de SIGIL s’arrête à la signature du logiciel et à l’émission des droits d’usage.
Aucune backdoor, aucune télémétrie, aucun compte caché
Les deux éditions s’exécutent sur l’infrastructure de l’institution. Comptes opérateurs, cibles, journaux, preuves, rapports, clés et résultats restent sous son contrôle. SIGIL ne dispose d’aucun accès par défaut à ces données, ne voit pas les opérations et ne détient aucun compte d’administration caché.
Un droit révocable qui n’est pas un kill-switch
Une installation sans télémétrie — éventuellement air-gapped — ne peut pas être révoquée instantanément à distance sans introduire un canal de contrôle, et ce canal contredirait la souveraineté et créerait un risque. À la place, les droits d’usage prennent la forme d’un certificat de droits d’usage signé, vérifié localement. L’institution ne détient que la clé publique nécessaire à sa vérification.
Ce que la révocation fait, et ne fait pas
| Toujours permis | Bloqué à l’expiration ou révocation |
|---|---|
| Lire, rechercher et exporter vos données | Nouveaux scans actifs |
| Vérifier et rejouer les preuves existantes | Lancement des moteurs avancés |
| Sauvegarde, restauration en staging et migration | Création de nouveaux permis |
| Arrêt d’urgence et extinction sûre | Réactivation ou contournement du statut |
La révocation bloque les nouvelles actions sensibles. Elle ne bloque jamais l’accès de l’institution à ses données, et n’empêche jamais l’institution d’arrêter le système.
Mises à jour et support
Les mises à jour sont signées et livrées avec un manifeste de build et une nomenclature logicielle ; l’import hors ligne est pris en charge. Le rapport de version facultatif n’envoie qu’un identifiant de version et de canal — jamais d’actifs ni de résultats. Le support ne reçoit qu’un bundle diagnostique expurgé, généré localement et partagé volontairement. Pour un incident sensible, un accès temporaire doit être approuvé par l’institution, journalisé, borné et révoqué à la clôture ; le défaut reste sans accès.