Comment vos règles restent à jour

Un outil de conformité qui applique des règles que vous ne pouvez pas inspecter vous demande de le croire. Cette page décrit exactement ce que contient le corpus de règles, d'où il tire son autorité, comment il arrive sur votre machine, et comment vous pouvez vérifier vous-même qu'il n'a pas été modifié en route.

Ce que « les règles » désignent

Le corpus est composé de 22 fichiers et 60 règles unitaires, répartis en trois familles :

Chaque règle porte, dans son propre fichier, l'article auquel elle se rattache. Ce n'est pas une étiquette décorative : c'est ce qui vous permet de contester une détection en discutant du texte, et non de notre interprétation.

D'où elles tirent leur autorité

Les règles sont ancrées sur des textes, jamais sur une opinion. Les références présentes aujourd'hui dans le corpus :

• RGPD — articles 5(1)(c) et 5(1)(f), 6, 9, 17, 25, 28, 30, 32, 35, 44 à 49
• AI Act — articles 5, 15, 50 (dont 50(1) et 50(2)), 53, et Annexe IV
• Décisions d'autorité — une règle sur les transferts cite explicitement la position de la CNIL de 2022 (analyse Google Analytics), parce que la lettre de l'article 44 ne suffit pas à trancher le cas

Deux conséquences que nous assumons :

1. Une règle sans texte derrière elle n'entre pas dans le corpus. Nous ne scorons pas une recommandation comme si elle était du droit dur — une note d'autorité qui suggère n'a pas la même force qu'un article qui oblige, et confondre les deux fabriquerait une exigence qui n'existe pas.
2. Nous documentons, nous ne certifions pas. Une détection dit « voici ce que le code montre, au regard de tel article, à cette date ». La qualification juridique revient à votre DPO ou à votre avocat.

Calibrage : deux niveaux, déclarés

Les 60 règles sont réparties en deux paliers — 21 essentielles et 39 différenciatrices. Ce découpage n'est pas cosmétique : il détermine ce qui pèse dans votre score. Le détail du calibrage de sévérité est décrit dans le système de règles.

Comment les règles arrivent sur votre poste

Deux chemins, et il est important de savoir lequel s'applique à vous.

1. Avec votre installation — toujours

Les règles sont embarquées dans le binaire que vous installez. C'est ce qui garantit qu'un scan fonctionne sans réseau, dès la première seconde, et qu'aucun réglage ne peut vous laisser sans règles. Ce chemin est actif en permanence et ne dépend de rien.

L'écran de scan affiche la version du corpus en usage et le nombre de règles chargées. Si ce que vous lisez là ne correspond pas à ce que vous attendez, c'est un signal, pas un détail.

2. Par synchronisation signée — à partir de la prochaine version

État au 26 juillet 2026, dit franchement : la chaîne de synchronisation est construite et testée, elle n'est pas encore active en production. Aucun corpus n'a été publié par ce canal à ce jour. Tant que vous n'avez pas installé une version qui l'active, vos règles sont celles de votre installation — et l'écran de scan le dit. Nous préférons cette phrase à un présent flatteur.

Voici comment elle fonctionne, pour que vous puissiez juger le mécanisme et pas la promesse :

1. Nous publions un manifeste : la liste des fichiers de règles, avec l'empreinte SHA-256 de chacun, une version et une date.
2. Ce manifeste est signé cryptographiquement (Ed25519) avec une clé qui nous est propre. La clé publique correspondante est embarquée dans votre application : c'est elle, sur votre machine, qui vérifie la signature.
3. Votre poste télécharge les fichiers annoncés et recalcule l'empreinte de chacun. Un seul écart annule toute la mise à jour : vous conservez le corpus précédent, entier et cohérent. Un jeu de règles à moitié à jour serait pire qu'un jeu ancien — il serait incohérent sans que rien ne le montre.
4. Les fichiers ne sont installés qu'après cette vérification. L'application ne déclare utiliser un corpus synchronisé qu'une fois les fichiers réellement en place.

Ce que ce mécanisme vous garantit concrètement : même si notre canal de distribution était compromis, un corpus modifié serait rejeté par votre application — la signature ne se falsifie pas sans la clé privée, qui ne quitte jamais notre infrastructure.

Ce qu'il ne garantit pas, et nous ne le prétendons pas : il ne prouve pas que nos règles sont justes. Il prouve qu'elles sont bien les nôtres, non altérées. Le fond se discute sur les textes cités plus haut.

Ce que le mode air-gap change

Le mode air-gap coupe tout appel réseau. Sur les règles, la conséquence est simple et il faut l'avoir choisie en connaissance de cause :

• ✅ le scan continue de fonctionner, entièrement, sans dégradation ;
• ⚠️ vos règles se figent à celles de votre installation. Elles ne suivront plus les évolutions réglementaires jusqu'à ce que vous installiez une nouvelle version, ou que vous rouvriez la synchronisation.

C'est un arbitrage légitime — un audit reproductible exige parfois un corpus figé, et certains environnements n'ont simplement pas d'accès réseau. Il devient un piège uniquement s'il est subi : l'écran de scan indique donc explicitement quand l'air-gap est actif.

Couper la synchronisation sans couper le reste

Depuis la version qui suit cette page, les trois flux sortants de POSITRONIA-CORE sont réglables séparément dans les Réglages :

L'interrupteur air-gap reste maître : lorsqu'il est actif, les trois flux sont fermés quel que soit leur réglage. L'interface affiche l'état effectif de chaque flux, pas seulement la case cochée — une case ne doit pas laisser croire qu'un flux est ouvert quand le mode air-gap le ferme.

Vérifier par vous-même

• Version et nombre de règles : écran de scan, à chaque analyse.
• Contenu d'une règle : les fichiers sont lisibles sur votre poste après installation ; chaque règle affiche son article, sa sévérité et sa remédiation.
• Familles couvertes : aperçu du catalogue.
• Limites du moteur : ce que POSITRONIA-RULES ne fait pas encore — analyse de flux de données profonde notamment.

Étape suivante

Le mode air-gap, le jeton hors-ligne et l'activation multi-postes sont détaillés dans Licence et usage hors-ligne.