Recolha evidências onde a sua equipa trabalha.
Escolha uma fonte suportada e verifique o que importa. Os conectores de recolha e a API requerem configuração da API Enterprise. O carregamento continua útil para documentos já disponíveis.
Por baixo dos quatro: um esquema aberto de pacote de evidências — e-ari-evidence-pack/1 — e as mesmas regras de integridade para cada byte.
A matriz
Quatro métodos, uma só convenção. A coluna Estado é um compromisso, não marketing.
A convenção de honestidade, dita à letra:
Os conectores de recolha disponíveis passaram testes com fontes reais no âmbito documentado. Isto não certifica todas as configurações de tenant. Um teste real concluído confirma a ligação; o fluxo principal ainda precisa de validação. As outras fontes continuam experimentais.
| Fonte | Método | Estado | Integridade |
|---|---|---|---|
API de ingestão A partir de qualquer passo de CI, tarefa cron ou curl — artefactos únicos ou pacotes de evidências | Push | Disponível | SHA-256 recalculado no servidor sobre os bytes recebidos; eliminação de duplicados por conteúdo; selável no registo de transparência público. |
GitHub Conteúdos do repositório através da API REST documentada | Pull | Disponível | O mesmo núcleo de ingestão do push; cada artefacto traz um sourceRef com o repositório, o commit e o caminho. |
Jira Instantâneos de pedidos e comentários pela API REST; apenas metadados dos anexos | Pull | Disponível | Recolha local testada com uma fonte real; a cobertura de mais tenants continua por validar. Os instantâneos de texto usam o núcleo de ingestão comum. A validação integral num espaço cliente está pendente; o conteúdo dos anexos não é descarregado. |
ServiceNow Registos da API Table, com autenticação básica ou OAuth | Pull | Experimental | Cada instância é moldada pelo seu inquilino — experimental até ser validado numa instância configurada por um cliente. |
Microsoft 365 Ficheiros de pastas OneDrive através do Microsoft Graph | Pull | Disponível | Importação real de ficheiros OneDrive testada com acesso delegado. Bibliotecas SharePoint, consentimento da aplicação do cliente e outros formatos ainda não verificados. |
Confluence Páginas do wiki através de uma pesquisa CQL — a política de IA onde realmente vive | Pull | Disponível | Recolha local testada com uma fonte real; a cobertura de mais tenants continua por validar. As páginas tornam-se texto legível para o cofre de evidências. Uma amostra limitada de leitura real passou; a validação integral num espaço cliente continua pendente. |
Google Drive Documentos de uma pasta através da API do Drive, com o vosso próprio token OAuth | Pull | Disponível | Recolha local testada com uma fonte real; a cobertura de mais tenants continua por validar. Os formatos nativos do editor (Docs, Sheets) nunca são listados — os seus bytes exigem uma transformação de exportação, e uma transformação silenciosa é pior que uma ausência. |
Notion Páginas do espaço de trabalho através da API do Notion, as mais recentes primeiro | Pull | Disponível | Recolha local testada com uma fonte real; a cobertura de mais tenants continua por validar. Os blocos são achatados em texto com títulos e blocos de código intactos; o token de integração é do cliente, partilhado com as páginas que deve ler. |
Slack Fios de decisão — resultados da pesquisa com todas as respostas | Pull | Disponível | Recolha local testada com uma fonte real; a cobertura de mais tenants continua por validar. As transcrições trazem canal, participantes e carimbos temporais: evidência de decisões, não só de documentos. Exige-se uma consulta — não há varrimento por defeito. |
Okta Inventário de aplicações SSO do registo do sistema Okta | Pull | Teste real concluído | Recolha real do registo concluída. A descoberta de ferramentas de IA ainda não foi validada. O JSON de inventário não é guardado como evidência documental. |
Relatórios de despesas Exportações CSV agendadas de qualquer plataforma de despesas, através da sua ligação HTTPS assinada | Pull | Experimental | O URL assinado é a credencial e nunca é registado. Os comerciantes alimentam a descoberta de shadow-AI — a maioria das IA entra por um pagamento com cartão, não por um projeto. |
Pastas de depósito Depósitos SFTP, sincronização S3, unidades partilhadas — exportações agendadas que o coletor vigia | Watch | Disponível | O coletor open source calcula um SHA-256 por ficheiro; o hash recalculado pelo servidor é o único guardado. |
Tráfego em execução Pontos de acesso compatíveis com OpenAI, através do agente de captura | Capture | Experimental | Âmbito da v1: apenas trocas sem streaming; o streaming passa intacto, byte a byte. |
Cada caminho obedece às mesmas três regras:
SHA-256 recalculado pelo servidor
Nada do que um conector afirma sobre um ficheiro é guardado como valor de integridade — o hash é calculado sobre os bytes que chegaram, do nosso lado da ligação.
Eliminação de duplicados por conteúdo
Os mesmos bytes para o mesmo sistema devolvem a evidência já existente — repetir um pull ou reiniciar não cria nada, e uma repetição idempotente é a funcionalidade a funcionar.
Selável no registo de transparência público
As evidências selam-se em pacotes Sealed Evidence Export (.see) cuja âncora qualquer pessoa pode voltar a verificar — com o verificador open source, offline, contra o registo público.
Como ligar cada um — corpos de pedido, credenciais e o que aterra — está documentado endpoint a endpoint no guia de conectores de evidência (docs/evidence-connectors.md no repositório, ligado a partir de /developers). Documentação para programadores →
O caminho open source
Três dos quatro métodos chegam como código que pode ler antes de confiar: JavaScript ESM simples, apenas módulos Node, zero dependências npm.
e-ari-verify
O verificador CLI independente dos pacotes selados — escrito contra a especificação do formato e contra as RFC, não contra o código da plataforma.
e-ari-collector
O vigia de pastas: tudo o que consiga largar um ficheiro numa pasta chega ao seu cofre de evidências.
e-ari-capture
O agente de execução: um proxy só de captura, que falha aberto — nunca um plano de controlo, e a sua chave de API a montante nunca chega à E-ARI.
O caminho de verificação não partilha código nenhum com a plataforma.
O que não fazemos
Sem scraping. Apenas APIs que o utilizador autoriza com as suas próprias credenciais. Os conectores pull sem validação num inquilino real são etiquetados como experimentais, não como suportados. Nada é obtido de uma fonte que o utilizador não nos indicou.
Comece pela sua exposição
O scanner de exposição é gratuito e faz três perguntas — o mesmo motor de regras que a plataforma, para saber que artigos se aplicariam ao seu sistema de IA.
Fazer a verificação de exposição gratuitaPrecisa de outras fontes?
Contacte-nos para validar uma fonte experimental ou alargar um conector disponível à configuração do seu tenant.
Falar sobre a sua fonte