Intramedial décide de ce que les agents peuvent faire et tient le registre. Cette page expose comment cela fonctionne, ce qui est fixé et où, et ce que nous n’avons pas encore publié. Elle ne revendique aucune certification. Chaque affirmation renvoie au document ou à la source qui la fonde.
Exploité par Avonao, Inc., Delaware
Faites passer actions d’agents, hash de contenu, contrôles d’API, requêtes DNS, webhooks, appels LLM et commits git par Intramedial. Obtenez un reçu signé vérifiable par tous – sans nous croire.
Chaque appel suit le même chemin. Les identifiants sont vérifiés à la porte d’entrée, le travail est fait et stocké dans la région propre au workspace, et la signature vient d’un module matériel de sécurité qui ne livre jamais sa clé.
La passerelle rattache l’identifiant à un seul workspace avant tout code d’outil. Les secrets sont stockés et comparés en hash SHA-256, en temps constant.
Workspace et droits vont au service régional dans des en-têtes signés par nos propres services. Sans signature valide, le service refuse la requête.
Le service régional fait la requête des outils de relais et de veille, via le filtre sortant, ou consigne les faits que vous déclarez. Corps hachés, non stockés.
L’enveloppe est canonisée selon RFC 8785 et signée dans AWS KMS avec la clé Ed25519 de la région. Sans clé, le service refuse plutôt que d’en prendre une autre.
Le reçu porte l’id de sa clé dans les octets signés. Avec le reçu et la clé publique, chacun le vérifie sans nous, tant que la clé reste publiée.
Un reçu est un énoncé précis et étroit. Lisez les deux colonnes avant de vous y fier, et avant de demander à autrui de le faire.
La vérification est indépendante. La confiance se réduit à une liste nommée.
| Vous croyez | Raison | En cas d’échec |
|---|---|---|
| La clé publique de vérification est la nôtre | Une signature prouve qui détient une clé, pas à qui elle est. | Une clé substituée fait passer des faux. Épinglez l’id de clé hors bande. |
| Nos clés de signature ne servent qu’au service de reçus | Le service signe ce que son code décide de signer. | Une clé détournée signerait des faits jamais survenus. |
| Nous observons honnêtement pour les outils observés | Les lignes du registre disent que le plan a vu ceci. | Un plan compromis pourrait écrire une fausse ligne de registre. |
| L’horloge | issuedAt : l’heure du serveur en signant. | Une horloge décalée fausse issuedAt. |
Sept clés Ed25519, une par juridiction de signature, servent à tous les workspaces. Leurs moitiés publiques sont publiées ; les privées sont créées et gardées par AWS Key Management Service.
| Adresse | Contenu |
|---|---|
https://intramedial.com/.well-known/ledger-bundles-keys.json | Le jeu JWK (redirige vers la route API) |
https://ledger-bundles.api.intramedial.com/.well-known/ledger-bundles-keys.json | Le jeu JWK lui-même, en cache une heure, ouvert à toute origine |
/api/v1/ledger-bundles/anchors | Chaque clé publiée et son indicateur actif |
/api/v1/ledger-bundles/snapshot | Une clé publique par son kid |
Vérifiable
curl -sSL https://ledger-bundles.api.intramedial.com/.well-known/ledger-bundles-keys.json -o keys.json
jq -r '.keys[] | [.kid, .jurisdiction] | @tsv' keys.json
// kid = 16 premiers octets du SHA-256 de la clé brute, base64urlPour la meilleure garantie, chargez la clé une fois, stockez son kid et sa valeur x dans votre dépôt, et vérifiez contre cette copie. /docs/ledger-bundles-snapshot
Chaque requête porte un identifiant que la passerelle rattache à un workspace avant tout outil. Voici comment identifiants, locataires et requêtes sortantes sont traités aujourd’hui.
Clés API, jetons d’accès personnels et jetons de session sont stockés en hash SHA-256, affichés une fois, comparés en temps constant. Les clés expirent après 30 jours, 90 jours, un an ou jamais, et tournent avec 0 à 60 minutes de grâce.
La connexion passe par Avonao ID. La durée de session, le délai d’inactivité et les réglages des cookies ne sont pas encore publiés ici, donc non indiqués. Ne comptez sur rien au-delà de ce que montre la page de connexion.
Scopes lecture, écriture et gestion, limitables à des outils nommés. Émettre un reçu exige la permission tools.attest ; un rôle d’auditeur ne peut pas en créer. Échec = refus.
La passerelle, pas l’appelant, fixe le workspace. Chaque lecture et écriture porte l’id du workspace ; un corps nommant un autre workspace est refusé. Séparation logique, en base régionale.
Cibles en localhost, noms internes et plages privées ou réservées sont refusés, à la soumission et avant chaque contrôle planifié. Pas de redirection suivie ; durée et taille bornées.
600 requêtes par minute par IP et 1 200 par compte à la passerelle. Sur agent.call, la détection signale scans ou credential stuffing à un humain ; elle ne suspend jamais seule.
Limites déclarées : le filtre sortant lit l’URL comme du texte et ne résout pas les noms d’hôte ; la seconde couche est que le service tourne sur le réseau Cloudflare, sans route vers l’espace privé. Les listes d’IP autorisées s’ouvrent si illisibles, pour qu’une panne de base ne bloque pas les clients.
Le service est conçu pour garder le moins possible. Pour l’attestation, il reçoit un hash, jamais le document ; pour les appels relayés, il hache les corps sans les garder.
Vous calculez un SHA-256 et l’envoyez. Nous ne recevons jamais document, prompt ni réponse.
Corps et en-têtes relayés transitent et sont hachés. Les réponses ne sont gardées que si vous activez la rétention.
Des triggers rejettent toute modif, et un hash de chaque reçu est en plus archivé dans un stockage à écriture unique (S3 Object Lock) pendant la période du forfait. Seules des routes auditées masquent ou suppriment, avec un événement d’audit.
URL, libellés et auteurs de commit sont en clair dans un reçu. N’y mettez rien que son lecteur ne doit pas voir.
Reçus, veilles, compteurs de quota, traitement des requêtes relayées et signature tournent dans la région choisie à la création du workspace. Tableau de bord, site, connexion, facturation et compte sont servis depuis les États-Unis (US West) dans tous les cas.
| Région | Code | Clé de signature AWS KMS | Stockage |
|---|---|---|---|
| US Ouest | wnam | us-west. | Lieu indicatif |
| Europe Centre | weur | eu. | Juridiction UE (imposée) |
| Asie-Pacifique | apac | asia. | Lieu indicatif |
| Océanie | oc | oc. | Lieu indicatif |
Une région dit où les données sont stockées et traitées. Un workspace ne migre jamais ; une région injoignable fait échouer l’appel, sans repli sur une autre.
Les données transitent en TLS entre vous et le service, et sont stockées chez notre hébergeur, Cloudflare, selon ses conditions de sécurité. Les reçus étant signés, toute modification de preuve stockée est détectable par qui la vérifie.
La suppression du compte prend effet après 30 jours de grâce, pour exporter et restaurer. La tâche de suppression ne retire pas les reçus : ils expirent selon le forfait, ou vous les supprimez, ou vous nous le demandez. Un reçu déjà remis à autrui reste vérifiable par lui quoi que nous fassions.
Données, vie privéeLes régionsConservation, effacementSous-traitants
Le statut est mesuré, pas écrit à la main. Les niveaux de service sont contractuels pour Enterprise, et la vérification ne dépend jamais de notre disponibilité.
Pour les forfaits Enterprise avec bon de commande signé, le SLA Enterprise fixe les conditions. Le support est assuré pendant les heures ouvrées et accuse réception des demandes Enterprise sous 1 heure ouvrée, 4 heures ouvrées ou 1 jour ouvré selon la gravité. Les forfaits en libre-service n’offrent ni engagement de disponibilité ni crédits de service ; leurs objectifs de réponse du support figurent sur la page des tarifs.
| Dispo mensuelle | Crédit de service |
|---|---|
| Sous 99,9 %, au moins 99,0 % | 10 % de la redevance mensuelle |
| Sous 99,0 %, au moins 95,0 % | 25 % de la redevance mensuelle |
| Sous 95,0 % | 50 % de la redevance mensuelle |
| Gravité | Sens | Délai d’accusé visé |
|---|---|---|
| Gravité 1 | Service couvert indisponible, ou reçus impossibles à émettre, en production. | 1 heure ouvrée |
| Gravité 2 | Fonction majeure altérée ou dégradée, avec contournement. | 4 heures ouvrées |
| Gravité 3 | Problème mineur, question ou demande. | 1 jour ouvré |
Si la disponibilité passe sous 99,0 % trois mois de suite, ou quatre mois sur douze, le client peut résilier la commande visée avec remboursement au prorata.
Vérifier un reçu ne demande que le reçu et une clé publique. Cela marche même quand notre service est en panne.
Nos engagements si quelque chose tourne mal, et comment nous signaler une faiblesse avant qu’un autre la trouve.
Nous avertissons le titulaire du compte par e-mail sans retard indu, et au plus tard 72 heures après avoir pris connaissance d’une violation touchant des données personnelles client, avec ce que l’on sait : nature, personnes et enregistrements touchés, conséquences probables, mesures prises. L’avis est complété au fur et à mesure.
Les incidents sont publiés sur la page de statut, avec une chronologie d’Investigating à Resolved. Lors d’un incident de gravité 1, les clients Enterprise reçoivent un avis initial puis des mises à jour.
Signalez via le formulaire, avec vos coordonnées ou anonymement, ou par e-mail. La recherche de bonne foi conforme à la politique est autorisée et ne donnera lieu à aucune action contre vous.
| Étape | Délai |
|---|---|
| Nous accusons réception | Sous 3 jours ouvrés |
| Première analyse et sa gravité | Sous 10 jours ouvrés |
| Points tant que c’est ouvert | Au plus 14 jours d’écart |
| Correctif, gravité critique/haute | Objectif : 30 jours |
| Correctif, gravité basse | Objectif : 90 jours |
Des objectifs, pas des garanties. Nous demandons 90 jours avant divulgation publique. Pas de prime en argent ; chercheurs cités par leur nom sur demande.
Ce qui existe et ce qui est disponible sur demande. Si une ligne compte pour votre revue, le document lié fait foi.
| Point | État | Détail |
|---|---|---|
| Accord de traitement (DPA) | Non revendiqué | Partie des CGU. S’applique d’office à l’acceptation ; aucune contre-signature requise. |
| Transferts internationaux | Non revendiqué | Clauses contractuelles types UE (2021/914, modules deux et trois), avenant britannique et adaptation suisse, intégrés au DPA. |
| Représentants de l’art. 27 | Non revendiqué | Représentants désignés dans l’UE et au Royaume-Uni, cités dans la politique de confidentialité et les mentions légales. |
| Nouveau sous-traitant | Non revendiqué | Préavis d’au moins 30 jours par e-mail et sur la liste, avec droit d’opposition et de résiliation remboursée. |
| Exercice de vos droits | Non revendiqué | Réception confirmée sous 10 jours ; réponse sous un mois selon le RGPD et le UK GDPR, ou 45 jours selon les lois des États américains. |
| Dossier sécurité | En place | Un livre blanc sur l’architecture et la sécurité et un questionnaire de sécurité prérempli, à lire en ligne ou à télécharger. |
| Questionnaire sécurité | Non revendiqué | Réponses écrites à un questionnaire raisonnable sous 30 jours, selon le §9 du DPA. |
| Audit client | Non revendiqué | Si la doc ne suffit pas : une fois par an, avec 30 jours de préavis, par un auditeur indépendant tenu au secret, aux frais du client. |
| Rapports de conformité fournisseurs | Non revendiqué | Les rapports de conformité publics de nos fournisseurs, si nous pouvons les partager. |
| Bug bounty | Non proposé | Pas de récompense en argent. Chercheurs cités sur demande. |
Chaque document qui régit le service, avec la date de sa version actuelle. Tout changement important des CGU, de la politique de confidentialité, du DPA et de l’AUP est annoncé aux titulaires au moins 30 jours avant.
| Document | Ce qu’il couvre | Mis à jour |
|---|---|---|
| Conditions d’usage | Pour le site, l’API, le serveur MCP et le tableau de bord : comptes, frais, données, responsabilité, droit applicable. | |
| Confidentialité | Quelles données perso nous traitons, pourquoi, qui les reçoit, combien de temps, et comment exercer vos droits. | |
| Accord de traitement (DPA) | Clauses de sous-traitance : sous-traitants, sécurité, avis de violation, audits, transferts internationaux. | |
| Sous-traitants | Chaque fournisseur traitant des données perso : rôle, lieu et annonce des changements. | |
| Charte cookies | Cookies et stockage navigateur de nos sites : rôle, durée de chacun et comment changer votre choix. | |
| Usage acceptable (AUP) | Ce qui est interdit avec le service, comment c’est appliqué et comment signaler un abus. | |
| Divulgation responsable | Comment signaler une faille, le périmètre, le safe harbor et nos délais de réponse. | |
| Règlement sur les services numériques | Points de contact pour les autorités et les utilisateurs de l’UE, notre représentant légal dans l’UE, signalements de contenus illicites et exposés des motifs. | |
| Règlement européen sur les données | Changer de fournisseur, exporter vos données, les formats utilisés et où fonctionne chaque service. | |
| Règlement européen sur l’IA | Comment le règlement européen sur l’IA s’applique à Intramedial et à ses packs de preuves, tel que le document l’énonce. Les packs associent des contrôles et ne certifient jamais. | |
| Droit de rétractation | Pour les consommateurs de l’UE et du Royaume-Uni : se rétracter d’un forfait payant sous 14 jours, ce qui vous est remboursé, et le formulaire type. | |
| Mentions · Impressum | Qui publie le site, où la société est immatriculée et ses représentants, tel que le document l’énonce. Également en allemand. |
Vous menez une revue fournisseur ? Dites-nous ce qu’il vous faut. Nous répondons aux questionnaires par écrit et disons clairement lorsqu’une information n’est pas encore publiée.
Réponses écrites sous 30 jours, comme le prévoit le DPA. Envoyez-le à privacy@intramedial.com.
Écrire à privacy@intramedial.com →EnterprisePour évaluer Enterprise : le SLA, la résidence des données, la conservation sur mesure et les pièces d’achat.
Contact ventes →SécuritéQuestions sur le modèle de sécurité, les clés ou une découverte. Les failles passent par le formulaire.
Contact sécurité →Vie privéeDemandes des personnes, objections aux sous-traitants et questions sur le DPA.
Contact vie privée →Vous voyez Intramedial utilisé contre vos systèmes ? Signaler un abus →
