Un point de vente manipule de l'argent dans un commerce ouvert au public. StillDeep ne croit aucun écran, aucun poste et aucune extension : tout est vérifié par le code qui l'applique.
Rien de ce qui vient d'un écran n'est cru
Chaque saisie est validée par le code qui l'applique, jamais seulement par l'écran : le moteur de vente revérifie quantités et prix, le serveur revérifie totaux, taxes et règles des quarts, et les contraintes de la base restent le dernier rempart. Un client à code source ouvert ne contourne aucune règle en envoyant une requête forgée.
Les postes ne touchent jamais la base
Les postes ne détiennent aucun mot de passe de la base. Chaque opération passe par un proxy gRPC sur le serveur du commerce, qui connaît chaque poste, vérifie ses permissions et enregistre l'opération. Chaque poste a sa propre identité ; aucun compte maître partagé.
Les paiements par carte restent hors de StillDeep
Les paiements par carte vont du terminal directement au processeur, avec chiffrement de point à point. Les numéros de carte ne passent jamais par StillDeep ni par le serveur du commerce.
Codes signés, vérifiables hors ligne
Les reçus et les billets portent un code QR signé ECDSA P-256 et chiffré AES-256-GCM. Un poste vérifie un billet à l'entrée sans Internet. Les badges d'employés et les coupons sont scellés par le serveur seul ; les postes n'en ont que les clés publiques pour les vérifier. Révoquer un poste révoque les clés qu'il détenait.
Des extensions tenues en laisse
Tout ce qu'une extension écrit ou rend est validé par l'hôte. Une extension qui échoue, dépasse son délai ou écrit une donnée invalide est arrêtée, ses inscriptions retirées, et la vente continue. Les extensions s'installent depuis un registre avec empreintes SHA-256 ; la signature des paquets est en cours.
Secrets et mémoire
Aucune chaîne de connexion ni aucun identifiant dans les fichiers de configuration : les secrets sont chiffrés au repos et injectés au démarrage. Les clés en mémoire sont dispersées et verrouillées en mémoire vive, et sous Linux et macOS le processus ne peut pas être vidé. Les mots de passe sont hachés avec bcrypt.
Post-quantique, en cours
La cible est une cryptographie hybride, classique plus post-quantique (ML-KEM, FIPS 203, et ML-DSA, FIPS 204), pour l'enrôlement des postes, la signature des extensions, les jetons des outils de l'IA et le journal d'audit. Aucune communication ne dépendra des seuls algorithmes post-quantiques. Ce travail est en cours, pas livré.
Signaler une vulnérabilité
Si vous trouvez un problème de sécurité sur ce site ou dans StillDeep, écrivez au contact de sécurité publié dans /.well-known/security.txt. Ne faites aucun test sur des systèmes qui ne vous appartiennent pas.