Trust Layer est un proxy placé entre vos agents et les API qu’ils appellent. Il calcule l’empreinte de chaque requête et de chaque réponse, signe l’enregistrement, puis l’ancre auprès d’une autorité d’horodatage indépendante et du registre public Sigstore. Un auditeur vérifie ces ancrages sans avoir à nous croire sur parole.
Offre gratuite : 500 preuves par mois, sans carte bancaire. Code open source (MIT).
| Version de spec | 3.1 |
|---|---|
| Émise le | 2026-09-14T19:48:25Z |
| Service appelé | corpus.arkforge.tech (HTTP 200) |
| Hash requête | sha256:2058278a1e29e24e… |
| Hash réponse | sha256:387dcaed3079c39d… |
| Hash de chaîne | sha256:842240b6d39d33b0… |
| Signature | ed25519:AVSK8y8_hafkhgLR… (clé ArkForge) |
| Ancrage par lot | feuille 34 sur 35, racine sha256:1a575a9cde65… |
| Jeton RFC 3161 | freetsa.org, sur la racine du lot |
| Index Rekor | 2834496977, sur la racine du lot |
Quatre étapes. Les deux premières ont lieu pendant le transit de l’appel. Les deux dernières couvrent un lot de preuves et arrivent en moins de 10 minutes ; chaque preuve porte son chemin jusqu’à la racine du lot ancré.
| Étape | Ce qui se passe | Ce que ça établit | Vérifiable sans ArkForge |
|---|---|---|---|
| 1. Empreinte | SHA-256 de la requête et de la réponse. Chaque champ reçoit son propre engagement, et le hash de chaîne est leur racine de Merkle. | L’enregistrement est cohérent. | Oui, mais seul il prouve peu : une preuve forgée peut être cohérente elle aussi. |
| 2. Signature | Signature Ed25519 du hash de chaîne, avec la clé d’ArkForge publiée sur /.well-known/did.json. |
ArkForge a émis cette preuve. | Non. Elle repose sur la clé d’ArkForge. |
| 3. Horodatage | La racine du lot est soumise à une autorité RFC 3161 : FreeTSA, avec DigiCert et Sectigo en secours. | La preuve existait à cette date. | Oui, avec le certificat de l’autorité. |
| 4. Registre public | La racine du lot est inscrite dans Sigstore Rekor, registre en ajout seul opéré sous l’égide de la Linux Foundation. | L’enregistrement a été publié à cette date et n’a pas été réécrit depuis. | Oui, sur rekor.sigstore.dev. |
Tant que son lot n’est pas clos, une preuve ne porte que les étapes 1 et 2 : pendant ce délai, seule la parole d’ArkForge la garantit.
Un log prouve que vous avez enregistré quelque chose. Il est écrit par la partie dont la conduite est en cause, sur une horloge qu’elle contrôle.
Ces limites font partie de la spécification. Lisez-les avant de vous appuyer sur une preuve.
Envoyez l’appel au proxy avec l’URL cible et le contenu. La réponse du service revient avec la preuve à côté.
curl -X POST https://trust.arkforge.tech/v1/proxy \
-H "X-Api-Key: $ARKFORGE_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"target": "https://api.example.com/v1/run",
"payload": {"task": "analyze", "text": "hello"}
}'
{
"service_response": {
"status_code": 200,
"body": { … }
},
"proof": {
"proof_id": "prf_20260914_194825_a747d0",
"spec_version": "3.1",
"hashes": { "request": …, "response": …, "chain": … },
"arkforge_signature": "ed25519:…",
"batch_anchor": { "status": "pending" },
"verification_url": "https://trust.arkforge.tech/v1/proof/…"
}
}
Pour vérifier une preuve vous-même, lancez le vérificateur autonome (bibliothèque standard Python et openssl) : python3 verify_proof.py prf_20260914_194825_a747d0. Comment se passe la vérification.
RSSI, DPO et juristes d’entreprises réglementées en Europe qui ont besoin d’enregistrements du comportement de leurs systèmes IA pour des audits internes, des demandes réglementaires ou des litiges contractuels.
Chaque preuve ancrée porte un jeton RFC 3161 et un index Rekor qu’un auditeur vérifie directement auprès de ces services. Conservez le JSON de la preuve avec vos dossiers : ces deux ancrages restent vérifiables même si ArkForge cesse son activité.
L’offre gratuite comprend 500 preuves par mois. L’intégration tient en un appel HTTP par requête : pas de SDK, pas de nouvelle dépendance, pas de réécriture d’agent.
Trust Layer ne dépend d’aucun modèle ni d’aucun fournisseur. Il certifie les appels vers OpenAI, Anthropic, Mistral, vos API internes et tout endpoint HTTP dans la même chaîne.
500 preuves par mois, sans carte bancaire. Offres payantes à partir de 29 € par mois.