Accueil Intégrité des builds

Intégrité des builds

Pour un produit dont la promesse centrale est le zero-knowledge, la parole donnée ne suffit pas : le code source est déjà consultable, et le processus de build de chaque composant (site et API) est rendu déterministe — deux compilations du même commit produisent des artefacts strictement identiques, empreinte SHA-256 incluse. Cette page publie ces empreintes et explique comment les vérifier vous-même, sans avoir à nous faire confiance sur parole.

Site web (encryvault.com)

Chargement de l'empreinte…

API (Encryvault-API)

Chargement de l'empreinte…

Comment vérifier vous-même

Site web

  1. Clonez le dépôt public au commit indiqué ci-dessus.
  2. Lancez ./scripts/setup-tools.sh (télécharge Tailwind CLI et esbuild aux versions exactes figées dans ce script).
  3. Lancez ./scripts/build.sh — il régénère dist/build-fingerprint.json en tout dernier.
  4. Comparez le champ aggregate_sha256 obtenu à celui publié ci-dessus : identique = le code déployé correspond bien au code source public.

API

  1. Clonez le dépôt Encryvault-API au commit indiqué ci-dessus.
  2. rust-toolchain.toml fige automatiquement la bonne version de rustc si vous utilisez rustup.
  3. Lancez ./scripts/reproducible_build.sh (option --verify pour compiler deux fois de suite et vérifier vous-même que le résultat est strictement identique).
  4. Comparez le binary_sha256 obtenu à celui publié ci-dessus.

L'empreinte de l'API est mise à jour manuellement à chaque déploiement (les deux dépôts ont des pipelines de publication distincts) — celle du site est régénérée automatiquement à chaque build et reflète donc toujours exactement ce qui est servi.