Manuel d'utilisation

Preuve

Dronetrake ne tient pas un journal quelconque : il tient des preuves. La différence est concrète. Un journal, quiconque a accès à la base de données peut le corriger, et personne ne s'en aperçoit. La preuve est construite pour qu'une manipulation se voie, et pour que la date d'un fait soit garantie par quelqu'un qui n'est pas nous. Ce chapitre explique ce qui est en preuve, comment cela fonctionne, ce que cela coûte et ce que la chaîne enregistre.

Ce que cela veut dire, en une phrase

Un fait est en preuve quand trois conditions tiennent ensemble :

1. il est écrit dans une entrée qui ne se réécrit pas (ou qui, si on la supprime, laisse une trace) ;
2. l'entrée porte une empreinte (SHA-256) calculée sur son contenu plus l'empreinte de l'entrée précédente : c'est la chaîne ;
3. la tête de la chaîne reçoit, à intervalles réguliers, un horodatage d'un prestataire indépendant.

À partir de là, n'importe qui, même sans nous faire confiance, peut recalculer la chaîne et établir que ce fait existait, tel qu'il est, avant cette heure. La question « qui a fait quoi, et quand ? » a une réponse documentaire, pas une réponse de mémoire.

Les chaînes

Chaque organisation a cinq chaînes, une par famille de faits :

• Vols : le carnet de vol. Drone, télépilote, décollage et atterrissage, lieux, VLOS/BVLOS, anomalies (voir le chapitre Vols).
• Enregistrements : les enregistrements chiffrés des directs, avec l'empreinte du fichier et l'heure de début.
• Fichiers de mission : livrables, documents, NOTAM. Entrent dans la chaîne les octets (empreinte, taille, type) et l'heure de dépôt ; le nom du fichier, le type de livrable et la mission rattachée sont des étiquettes que vous pouvez corriger sans rien casser.
• Procès-verbaux des check-lists : chaque check-list signée produit, à l'instant de la signature, un procès-verbal avec les points cochés, qui a signé et quand. Le procès-verbal est l'entrée en chaîne, et il survit à la mission.
• Attestations de formation : pour les écoles, le dossier d'un exercice remis (voir Équipe et le guide pour les écoles).

Il existe aussi une sixième chaîne, de plateforme : le registre des actes — connexions réussies et échouées, changements de rôle, entrées et sorties d'organisations, changements d'offre, suspensions, révocations de liens et de clés, actes de l'équipe. C'est une chaîne unique, la nôtre, scellée chaque nuit, que nous produisons sur demande quand il faut reconstituer qui a fait quoi.

Dans l'empreinte entrent les faits ; les étiquettes corrigibles en restent dehors. Corriger une étiquette ne casse rien ; toucher un fait, si, de manière visible.

Les deux niveaux

Niveau 1 — la chaîne et le scellé nocturne. La chaîne est là toujours et pour tous, sans coût et sans choix : dès l'offre gratuite, chaque entrée naît avec son maillon. Le scellé nocturne s'active depuis le profil de l'organisation, avec l'interrupteur « Scellé nocturne avec horodatage » : il est gratuit, et dès lors chaque nuit la tête de chaque chaîne reçoit l'horodatage d'un prestataire indépendant. C'est un horodatage non qualifié : il prouve qu'à cette heure la chaîne était celle-là. Interrupteur activé, la page Preuve apparaît dans le panneau.

Niveau 2 — l'horodatage qualifié eIDAS. La date est posée par un prestataire de services de confiance qualifié au sens du règlement européen eIDAS, indépendant de nous ; son nom apparaît sur la page Preuve dès que le premier horodatage qualifié est émis. Il fonctionne avec le scellé nocturne activé, c'est un choix, à horodatages comptés, qui s'exprime de trois façons :

• « Marquer comme preuve » sur un vol, depuis le carnet de vol : quand ce vol devra tenir devant quelqu'un. La confirmation indique qu'un horodatage est consommé et combien il en reste ;
• « Marquer comme preuve » sur un enregistrement, depuis la liste des enregistrements ;
• l'interrupteur de mission « Doit tenir devant des tiers » : dès lors les vols de la mission, les enregistrements de son canal dans la fenêtre de l'opération (jusqu'à deux heures après la fin), les procès-verbaux des check-lists et les fichiers naissent déjà marqués. Si vous l'activez après coup, ce qui existe se met à jour.

Un horodatage qualifié couvre tout ce qui a été marqué dans la journée sur cette chaîne : le coût est par nuit et par chaîne, pas par entrée. Le plafond mensuel dépend de l'offre : Solo et School aucun horodatage qualifié, Pilot quinze par mois, Crew et Ops sans plafond (la limite est le passage nocturne lui-même). Si les horodatages sont épuisés, rien n'est perdu : ce qui est déjà marqué garde la chaîne et le scellé nocturne, les vols et enregistrements marqués restent En attente d'horodatage sur la page Preuve, et le premier horodatage qualifié disponible les couvre. D'ici là, les nouveaux vols ne sont pas marqués, ni à la main ni par l'interrupteur de mission : le bouton dit pourquoi.

La page Preuve

Vous la trouvez dans le groupe Conformité, quand le scellé nocturne est activé. De haut en bas :

• Dossier de remise, pour qui administre l'organisation : Préparer le dossier le prépare en arrière-plan et vous êtes averti quand il est prêt ; puis Télécharger le dossier.
• Qui garantit la date : le prestataire qualifié, dès qu'au moins un horodatage qualifié a été émis ; sinon la phrase qui explique comment l'obtenir. En dessous, combien d'horodatages qualifiés restent dans le mois, ou que votre offre n'a pas de plafond.
• Vols marqués comme preuve : qui a marqué chacun et quand, et son état : En attente d'horodatage jusqu'à ce que le passage nocturne le couvre, puis Horodaté, avec date et prestataire.
• Enregistrements marqués comme preuve : les mêmes états, plus la Copie hors serveur : faite ou en cours.
• Attestations de formation (écoles), Check-lists signées et Fichiers de mission dans la chaîne : chacun avec le premier scellé qui le couvre, avec date et prestataire, ou En attente du scellé nocturne. Ces sections n'apparaissent que s'il y a quelque chose à montrer ; pour les check-lists et les fichiers, les vingt derniers.
• Combien de temps : la fenêtre entre le marquage et l'horodatage.

Une règle vaut pour tout : un horodatage couvre ce qui existait avant lui. Ce qui naît après attend le suivant. C'est pourquoi la page dit toujours quelle est la fenêtre : l'horodatage arrive avec le passage nocturne, pas à l'instant.

Les enregistrements marqués comme preuve

Un enregistrement marqué comme preuve change de nature : la rétention ne l'élague plus, il reçoit une copie hors du serveur (Copie hors serveur sur la page Preuve : faite ou en cours) et il ne se supprime pas, par aucun chemin : panneau, rétention ou console. Pour le supprimer, il faut d'abord le rétrograder avec « Revenir à ordinaire », et il reste écrit qui l'a fait et quand. L'automatisme le protège du hasard, et le modèle le protège de la personne.

Les check-lists signées

Une check-list se remplit, se corrige et se signe. Après la signature, elle ne se modifie pas et ne se supprime pas toute seule : par aucun chemin, pas même depuis la console. À la signature naît le procès-verbal — les points cochés, le signataire, l'heure, la mission — qui entre en chaîne. Si un jour la mission est supprimée, la check-list part avec elle en laissant une pierre tombale, mais le procès-verbal reste, avec son empreinte et le scellé qui le couvre.

Supprimer, et ce qui reste

Supprimer est possible, sauf là où la preuve l'interdit : les entrées de carnet de moins de trois ans, les enregistrements marqués comme preuve, les procès-verbaux, les attestations. Mais rien ne disparaît en silence : chaque suppression laisse une pierre tombale avec ce que c'était, quand, selon quelle règle (à la main, rétention, purge) et de la main de qui. La pierre tombale conserve aussi le maillon de l'entrée supprimée : c'est pourquoi la chaîne tient même sans elle, et la vérification continue de passer.

Une suppression faite en cachette, hors du produit, ne laisse pas de pierre tombale : la chaîne se casse, et la vérification le dit. C'est exactement le travail qu'elle doit faire.

Vérifier

De l'intérieur : la page Preuve, et dans la fiche de chaque vol l'empreinte complète, copiable.

De l'extérieur, sans compte : le QR des rapports de mission ouvre une page publique qui recalcule à chaque visite le maillon de chaque vol dans la chaîne et montre les empreintes des fichiers livrés. L'historique opérationnel d'un drone, l'attestation d'un télépilote et l'attestation de formation d'un élève ont aussi leur page publique : qui reçoit le document vérifie lui-même, et voit le résultat, pas vos données internes.

De notre côté : notre contrôle recalcule chaque chaîne scellée jusqu'à la tête horodatée et vérifie la signature de l'horodatage : deux réponses distinctes. Il tourne chaque nuit, après le scellement, sur les scellés les plus récents, et chaque dimanche sur tous. Un scellé qui ne colle pas reste inscrit comme rompu ; une explication peut être versée au dossier, mais elle ne le fait pas passer au vert. Et les horodatages sont renouvelés, au plus tard tous les dix-huit mois — un arbre d'empreintes sur tous les jetons, et un seul horodatage sur la racine — parce que la validité d'un horodatage n'est pas éternelle.

À la clôture

Si l'organisation ferme, elle reçoit le dossier de remise : le registre de chaque chaîne avec empreintes et contenus signés, les enregistrements marqués comme preuve, les fichiers de mission, les procès-verbaux, les attestations, les incidents avec leurs fichiers, une copie des certificats des télépilotes (qui leur restent), les captures, les constats avec photos et matrices thermiques, les alertes IA, les zones géographiques UAS chargées, le logo, les pierres tombales, les scellés avec les jetons d'horodatage, et un LISEZ-MOI qui explique comment tout revérifier hors ligne, avec des outils standard, sans Dronetrake. Qui administre l'organisation peut aussi le préparer à tout moment depuis la page Preuve. À la clôture s'ouvre une fenêtre de 90 jours pour le télécharger ; la fenêtre expirée, les données sont supprimées — la conservation des registres est une obligation de l'exploitant, et dès lors elle est entre ses mains. De notre côté restent les scellés et les pierres tombales des entrées supprimées : ils montrent que le registre a existé, jusqu'à quelle tête et quand il a été supprimé, sans contenir vos données. Qui le souhaite peut choisir la garde : les registres restent chez nous, scellés, en lecture seule et avec des horodatages renouvelés, tant que la garde est payée ; quand elle s'arrête, la fenêtre de 90 jours s'ouvre et le cycle reprend de là.

Ce que la chaîne enregistre

• Un fait tel qu'il a été saisi, et avant quelle heure. Une donnée erronée saisie par une personne reste dans la chaîne, telle quelle et vérifiable ; elle se corrige par une rectification, une nouvelle entrée qui renvoie à l'ancienne, pas en la réécrivant.
• Qui a posé l'heure. Chaque scellé porte le nom du prestataire qui l'a émis : l'indépendant du scellé nocturne ou le prestataire qualifié eIDAS.
• Pour qui juge. Donneur d'ordre, assureur, autorité : ils travaillent sur des faits qu'ils peuvent recalculer eux-mêmes, sans nous faire confiance.
• Tout ce qui arrive aux archives. Une suppression avec pierre tombale, une clôture, une rétention expirée : la chaîne les enregistre comme ils se sont passés. C'est la raison pour laquelle elle vaut quelque chose.