Collectez les preuves là où votre équipe travaille.
Choisissez une source prise en charge et vérifiez ce qu’elle importe. Les connecteurs de collecte et l’API nécessitent une configuration API Enterprise. Le dépôt reste utile pour les documents déjà disponibles.
Sous les quatre : un schéma ouvert de paquet de preuves — e-ari-evidence-pack/1 — et les mêmes règles d’intégrité pour chaque octet.
La matrice
Quatre méthodes, une seule convention. La colonne Statut est un engagement, pas du marketing.
La convention d’honnêteté, dite telle quelle :
Les connecteurs de collecte disponibles ont réussi des tests avec des sources réelles dans le périmètre documenté. Cela ne certifie pas toutes les configurations de tenant. Un test en conditions réelles réussi confirme la connexion, mais le parcours principal reste à valider. Les autres sources restent expérimentales.
| Source | Méthode | Statut | Intégrité |
|---|---|---|---|
API d’ingestion Depuis toute étape de CI, tâche cron ou curl — artefacts uniques ou paquets de preuves | Push | Disponible | SHA-256 recalculé côté serveur sur les octets reçus ; déduplication par contenu ; scellable dans le journal de transparence public. |
GitHub Contenus de dépôt via l’API REST documentée | Pull | Disponible | Le même cœur d’ingestion que le push ; chaque artefact porte un sourceRef nommant le dépôt, le commit et le chemin. |
Jira Instantanés des tickets et commentaires via l’API REST ; métadonnées des pièces jointes uniquement | Pull | Disponible | Collecte locale testée avec une source réelle ; une couverture plus large des tenants reste à valider. Les instantanés texte utilisent le moteur d’ingestion commun. La validation de bout en bout dans un espace client reste à faire ; le contenu des pièces jointes n’est pas téléchargé. |
ServiceNow Enregistrements de l’API Table, en authentification basic ou OAuth | Pull | Expérimental | Chaque instance est façonnée par son locataire — expérimental jusqu’à validation sur une instance configurée par un client. |
Microsoft 365 Fichiers de dossiers OneDrive via Microsoft Graph | Pull | Disponible | Import réel de fichiers OneDrive testé avec un accès délégué. Bibliothèques SharePoint, consentement de l’application client et autres formats encore non vérifiés. |
Confluence Pages de wiki via une recherche CQL — la politique IA là où elle vit vraiment | Pull | Disponible | Collecte locale testée avec une source réelle ; une couverture plus large des tenants reste à valider. Les pages deviennent du texte lisible pour le coffre de preuves. Un échantillon limité de lecture en direct a réussi ; la validation de bout en bout reste à faire. |
Google Drive Documents d'un dossier via l'API Drive, avec votre propre jeton OAuth | Pull | Disponible | Collecte locale testée avec une source réelle ; une couverture plus large des tenants reste à valider. Les formats natifs (Docs, Sheets) ne sont jamais listés — leurs octets exigent une transformation d'export, et une transformation silencieuse est pire qu'une absence. |
Notion Pages de l'espace via l'API Notion, les plus récentes d'abord | Pull | Disponible | Collecte locale testée avec une source réelle ; une couverture plus large des tenants reste à valider. Les blocs sont aplatis en texte avec titres et blocs de code intacts ; le jeton d'intégration est celui du client, partagé avec les pages à lire. |
Slack Fils de décision — résultats de recherche avec l'ensemble des réponses | Pull | Disponible | Collecte locale testée avec une source réelle ; une couverture plus large des tenants reste à valider. Les relevés portent canal, participants et horodatages : des preuves de décisions, pas seulement de documents. Une requête est exigée — aucun balayage par défaut. |
Okta Inventaire des applications SSO à partir du journal système Okta | Pull | Test en conditions réelles réussi | Collecte du journal validée en conditions réelles. La découverte d’outils IA reste à valider. Le JSON d’inventaire n’est pas stocké comme preuve documentaire. |
Rapports de dépenses Exports CSV planifiés de toute plateforme de notes de frais, via leur lien HTTPS signé | Pull | Expérimental | L'URL signée est l'identifiant et n'est jamais journalisée. Les marchands alimentent la découverte shadow-AI — la plupart des IA entrent par un paiement carte, pas par un projet. |
Dossiers de dépôt Dépôts SFTP, synchronisation S3, lecteurs partagés — exports planifiés que le collecteur surveille | Watch | Disponible | Le collecteur open source calcule un SHA-256 par fichier ; le hash recalculé par le serveur est le seul conservé. |
Trafic d’exécution Points de terminaison compatibles OpenAI, via l’agent de capture | Capture | Expérimental | Portée v1 : échanges non streaming uniquement ; le streaming passe inchangé, octet pour octet. |
Chaque chemin obéit aux mêmes trois règles :
SHA-256 recalculé par le serveur
Rien de ce qu’un connecteur affirme à propos d’un fichier n’est conservé comme valeur d’intégrité — le hash est calculé sur les octets arrivés, de notre côté du fil.
Déduplication adressée par le contenu
Les mêmes octets vers le même système retournent la preuve déjà existante — un nouveau pull ou un redémarrage ne recrée rien, et un réessai idempotent est la fonctionnalité qui fonctionne.
Scellable dans le journal de transparence public
Les preuves se scellent dans des paquets Sealed Evidence Export (.see) dont l’ancrage peut être revérifié par n’importe qui — avec le vérificateur open source, hors ligne, contre le journal public.
La façon de connecter chacun — corps de requête, identifiants et ce qui atterrit — est documentée endpoint par endpoint dans le guide des connecteurs de preuves (docs/evidence-connectors.md dans le dépôt, lié depuis /developers). Documentation développeur →
Le chemin open source
Trois des quatre méthodes sont livrées en code que vous pouvez lire avant de leur faire confiance : JavaScript ESM simple, modules Node uniquement, zéro dépendance npm.
e-ari-verify
Le vérificateur CLI indépendant des paquets scellés — écrit contre la spécification du format et contre les RFC, pas contre le code de la plateforme.
e-ari-collector
Le surveillant de dossiers : tout ce qui sait déposer un fichier dans un dossier rejoint votre coffre de preuves.
e-ari-capture
L’agent d’exécution : un proxy de capture seule, à échec ouvert — jamais un plan de contrôle, et votre clé API amont n’atteint jamais E-ARI.
Le chemin de vérification ne partage aucun code avec la plateforme.
Ce que nous ne faisons pas
Pas de scraping. Uniquement des API que l’utilisateur autorise avec ses propres identifiants. Les connecteurs pull sans validation sur un locataire réel sont étiquetés expérimentaux, pas pris en charge. Rien n’est récupéré d’une source que l’utilisateur ne nous a pas désignée.
Commencez par votre exposition
Le scanner d’exposition est gratuit et pose trois questions — le même moteur de règles que la plateforme, pour savoir quels articles s’appliqueraient à votre système d’IA.
Lancer la vérification d’exposition gratuiteBesoin de couvrir d’autres sources ?
Contactez-nous pour valider une source expérimentale ou étendre un connecteur disponible à la configuration de votre tenant.
Parlons de votre source