Confiance et provenance

L'authenticité de ce site est vérifiable de façon indépendante : identité, clés, signatures et posture de confidentialité réunies ici, et vérifiables en direct dans votre propre navigateur.

Ce que ces vérifications prouvent — et ne prouvent pas

Ces vérifications prouvent que les artefacts téléchargés correspondent aux empreintes publiées, que les artefacts signés se vérifient avec la clé OpenPGP publiée, et que la clé Ed25519 actuelle est autorisée à signer les réponses HTTP. Elles ne prouvent pas que chaque affirmation biographique est vérifiée de façon externe, et ne remplacent pas la vérification indépendante des profils tiers.

Identité

• did:web:patrickaudley.com — identifiant décentralisé (/.well-known/did.json)
• /.well-known/webfinger — WebFinger
• /.well-known/nostr.json — Nostr NIP-05
• Identité Ethereum / ENS: patrickaudley.com · 0x3FEFC1B6D9b6A851bfC274fEa1929c31c6F23cf2 · did:pkh:eip155:1:0x3FEFC1B6D9b6A851bfC274fEa1929c31c6F23cf2

Clés et chiffrement

Le site utilise un modèle à deux clés : une clé PGP de long terme comme identité durable, et une clé Ed25519 renouvelée chaque année pour signer les réponses HTTP.

• Clé publique OpenPGP: /.well-known/pgp.txt · WKD (/.well-known/openpgpkey/)
  DF3B 3209 EEDB 36C8 00F0 9C1F 1712 C2A1 55DF 887E
• Annuaire de la clé de signature Ed25519: /.well-known/http-message-signatures-directory (RFC 9421)
• Assertion de relation entre clés: /.well-known/keys.txt
• La clé est aussi découvrable par un enregistrement DNS OPENPGPKEY signé par DNSSEC (RFC 7929, sous _openpgpkey), pour la découverte DANE par DNS.
• Continuité des clés: déclaration de transition signée · audit des identités courriel (horodatage RFC 3161)

Artefacts signés et provenance du contenu

• Les ressources signées portent des signatures OpenPGP détachées (.asc) ; le manifeste est à /.well-known/manifest.txt.
• Manifeste de provenance du contenu (style C2PA, émetteur = le DID du site, JWS EdDSA sur le Markdown et les textes LLM) : /.well-known/content-provenance.json

Recettes de vérification

Importez la clé publiée, vérifiez un artefact signé, puis inspectez la provenance :

# inspect the key's fingerprint BEFORE importing — compare it to the one above
curl -s https://patrickaudley.com/.well-known/pgp.txt | gpg --import-options show-only --with-fingerprint --import

# then import, fetch a signed artifact + its signature, and verify
curl -s https://patrickaudley.com/.well-known/pgp.txt | gpg --import
curl -sO https://patrickaudley.com/llms.txt
curl -sO https://patrickaudley.com/llms.txt.asc
gpg --verify llms.txt.asc llms.txt

curl -s https://patrickaudley.com/.well-known/content-provenance.json | jq '.subjects[].sha256'

Intégrité de la page

• Les scripts et styles de cette page sont verrouillés par des empreintes SRI (la vérification ci-dessus les recalcule et les compare).
• Version de construction: d7eb03c · généré le 2026-06-10T10:38:46-06:00

Contact de sécurité

• /.well-known/security.txt — RFC 9116 (expire le 2027-06-10T10:38:46-06:00)
• Canal sécurisé / chiffré: secure@blackcatinformatics.ca

Posture de confidentialité

• Le site honore le signal GPC (Global Privacy Control) : /.well-known/gpc.json
• Aucun cookie, aucune analyse, aucun traceur tiers ; les journaux serveur servent uniquement à la sécurité et à la capacité.
• Pour la confidentialité: secure@blackcatinformatics.ca · Mentions légales et confidentialité

Sécurité courriel et transport (DNS)

Enregistrements publiés pour patrickaudley.com (la vérification en direct les récupère via DNS-over-HTTPS) :

MTA-STS policy

Index des normes