Ferry

Il n'y a pas de tiers de confiance. Quelques conséquences :

Un pair non vérifié ne peut rien faire. Refus par défaut, imposé au handshake Noise avant qu'aucune trame ne soit lue comme une commande — jamais dans l'interface. La découverte n'est pas la confiance : un nom d'hôte sur un réseau est une affirmation non authentifiée. Le pairing demande un code court hors bande et une phrase de vérification qu'un humain confirme, et il ne peut pas être contourné.

Envoyer est une écriture locale, pas un appel réseau. La ligne d'outbox est écrite dans la même transaction que le changement d'état, et un dispatcher la vide quand le pair est joignable. C'est un pattern familier utilisé autrement : d'habitude l'outbox existe pour qu'un effet de bord échoué ne puisse pas annuler une écriture, mais ici le pair hors ligne est le cas normal, donc c'est l'abstraction centrale plutôt qu'un filet de sécurité.

L'expiration tourne sur l'horloge monotone du receveur, à partir de la livraison. Deux portables sur un partage de connexion ne sont pas d'accord sur l'heure, et l'horloge de l'expéditeur est contrôlée par l'attaquant. Un secret de dix minutes resté vingt minutes en file obtient quand même ses dix minutes lisibles une fois arrivé.

La crypto est assemblée à partir de primitives auditées, jamais conçue. age, Noise XK, SPAKE2, ed25519. Aucune construction nouvelle et aucune dérivation de clé faite main.

Direction des dépendances : daemon/cli → core → net/store/crypto → proto. Jamais l'inverse. core ne peut pas importer le démon, un type IPC ou quoi que ce soit lié à l'UI, parce qu'il doit rester pilotable depuis le démon, la CLI ou un harnais de test avec un faux réseau, sans rien changer.

La crate réseau ne peut pas importer la crate crypto, donc la vérification du roster arrive comme un prédicat injecté sur des octets de clé bruts. Le réseau l'impose mécaniquement et n'entre jamais en mode transport sans un passage ; la couche domaine fournit la décision réelle adossée au roster. Aucune des deux couches ne peut se retrouver à faire confiance à l'autre par accident.

proto ne contient que des types, des enums et des codes d'erreur — aucune logique. Les 37 types de bindings TypeScript en sont générés avec ts-rs plutôt que retranscrits à la main, et la CI fait échouer le build sur tout diff.

Le démon est la seule chose qui parle le protocole pair-à-pair. Tout ce qu'un humain touche — la CLI, une extension VS Code, et une coque de bureau Tauri par-dessus une interface React de 22 composants — lui parle sur un socket local à trames de longueur, et jamais directement à une autre machine.

C'est pour ça que le pairing vit dans la CLI plutôt que dans le démon. Il faut un humain pour lire une phrase de vérification à voix haute, et le démon est sans tête, sans terminal garanti. Une étape qui exige une personne ne peut pas vivre dans un processus qui ne peut pas en atteindre une.

La barre de test, c'est un harnais docker compose qui fait tourner deux démons sur un réseau et pilote un vrai envoi, une déconnexion et une reconnexion entre eux. Un test à deux nœuds en mémoire me renseigne sur la machine à états ; celui-ci me renseigne sur un partage de connexion avec un portable en veille dessus.