HodeiShield®

Votre posture de sécurité, vérifiable par quiconque vous la demande.

Un client réglementé, un auditeur ou votre conseil demandent des preuves de votre maturité par référentiel. Le Trust Center les publie en accès public ou contrôlé ; ATTEST y ajoute un document signé, vérifiable hors ligne et sans compte.

Demander une démoVoir le vérificateur sur GitHub (s’ouvre dans un nouvel onglet)
  • Signature ML-DSA-65 (FIPS 204) en JWS détaché, sans autorité de certification
  • Vérificateur en code ouvert (Apache-2.0) qui fonctionne hors ligne

attestation.json

Données d’exemple

En-tête protégé

alg
ML-DSA-65
typ
application/attest+jws
kid
q3Vn…8aLw

Affirmations signées

slug
organisation-a
visibility
public
generatedAt
09:00:00Z
expiresAt
09:15:00Z
  • NIS2 Substantiel
  • ENS Basique
  • DORA Substantiel

Niveau global : Basique, le plus faible

Validité15 min par défaut
09:0009:15

Sortie de verify-attestation.sh

PASS  alg is ML-DSA-65 (RFC 9964, IANA-permanent)PASS  ML-DSA-65 signature verifies over protected.payloadPASS  not expiredPASS  overallBand (E6) 'basic' equals the weakest attested band — recomputed, not trustedVERIFIED — this document was signed by the holder of the key above and has not been altered since.That is all it proves. It does not prove the claims inside are true, that the key belongs to who you think, or that the document was meant to exist.
Données d’exemple : l’organisation, les dates et les identifiants sont fictifs. La sortie du vérificateur est affichée en anglais, telle quelle.

Deux éléments qui se complètent

Le Trust Center est la page que voit votre interlocuteur. ATTEST est la preuve signée qu’il peut emporter et vérifier par lui-même.

Trust Center

  • Page en accès public ou restreint (NDA / revue manuelle) selon le contenu.
  • Journal d’audit des demandes d’accès et des événements.
  • Abonnement aux nouveautés avec double confirmation (double opt-in).
  • Couverture par référentiel et documentation publique de votre organisation en un seul lieu.

ATTEST

  • Document signé à la demande avec ML-DSA-65 (FIPS 204), en JWS détaché.
  • Uniquement le niveau de maturité de chaque référentiel et le plus faible : jamais de scores, d’euros ni de détail sur les fournisseurs.
  • Durée de vie courte : 15 minutes par défaut et une heure au maximum, avec défi-réponse optionnel.
  • Révocation d’une clé ou des attestations antérieures d’une organisation au moyen d’une liste d’état signée.

D’un Trust Center publié à un VERIFIED que chacun reproduit

Rien de tout cela n’exige un compte HodeiShield de la part de qui vérifie.

  1. Vous publiez le Trust Center

    L’attestation est émise pour un Trust Center publié, public ou à accès contrôlé. Il n’y a ni tâche programmée ni stockage : le document est signé au moment où on le demande.

  2. Qui en a besoin demande l’attestation

    Elle se demande au endpoint public de votre organisation. Avec un nonce propre, la réponse est liée à cette requête.

    curl -s https://app.hodeishield.com/api/public/attest/<slug> -o attestation.json

  3. Téléchargez les clés publiques

    Les clés de vérification sont publiées sur un endpoint ouvert.

    curl -s https://app.hodeishield.com/api/public/attest/keys -o keys.json

  4. Vérifiez hors ligne

    verify-attestation.sh contrôle la signature, l’expiration et recalcule le niveau global. Il lui suffit de bash 4, d’OpenSSL 3.5 et de python3.

    ./verify-attestation.sh --attestation attestation.json --jwks keys.json

La vérification n’appelle pas HodeiShield. La seule exception est facultative : le mode liste d’état, si vous lui indiquez vous-même une URL https.

Ce que prouve une attestation et ce qu’elle ne prouve pas

C’est une autoévaluation de maturité signée par HodeiShield. Voici exactement ce qu’ajoute la signature.

Ce qu’elle prouve

  • L’intégrité : le document n’a pas été modifié depuis sa signature.
  • L’origine : il a été signé par le détenteur de la clé publiée.
  • Le moment : quand il a été émis et jusqu’à quand il est valide.

Ce qu’elle ne prouve pas

  • Que ce qui est attesté soit vrai : c’est une autoévaluation, pas une vérification indépendante.
  • La conformité ni une certification : elle ne remplace pas un audit ni ISO 27001, l’ENS ou une autre certification accréditée.
  • Un registre de transparence ni une racine de confiance au-delà de TLS et de l’épinglage de la clé publiée.
  • La révocation d’attestations isolées : on révoque une clé ou une organisation, et leur courte durée de vie le compense.

Chaque affirmation, avec sa preuve et sa portée

Ce que HodeiShield dit d’ATTEST et du Trust Center, et où vous pouvez le vérifier.

  1. Chaque Trust Center publié peut émettre une attestation signée avec ML-DSA-65 (FIPS 204) en JWS détaché.

    Docs · Vérificateur d’attestations (s’ouvre dans un nouvel onglet)

    Portée. Elle signe des affirmations de maturité ; elle ne les vérifie pas.

  2. Elle atteste le niveau de maturité de chaque référentiel (quatre niveaux) et le plus faible. Jamais de scores, de montants en euros ni de détail sur les fournisseurs.

    Dans la démo

    Portée. Un niveau n’est pas un résultat d’audit.

  3. Elle se vérifie hors ligne avec le vérificateur en code ouvert (Apache-2.0) et les clés publiques, avec bash 4, OpenSSL 3.5 et python3.

    GitHub · hodeishield-attest-verifier (s’ouvre dans un nouvel onglet)

    Portée. Il recalcule le niveau global ; il ne valide pas que le contenu des affirmations soit vrai.

  4. L’attestation a une durée de vie courte : 15 minutes par défaut et une heure au maximum.

    Dans la démo

    Portée. Avec défi-réponse optionnel pour lier la réponse à qui la demande.

  5. Une liste d’état signée et publiée permet de révoquer une clé ou toutes les attestations antérieures d’une organisation.

    Docs · Vérificateur d’attestations (s’ouvre dans un nouvel onglet)

    Portée. Elle ne révoque pas les attestations individuelles.

  6. Le Trust Center est public ou restreint (NDA / revue manuelle), laisse un journal d’audit des demandes et des événements, et ses abonnements utilisent la double confirmation.

    Docs · Guide du Trust Center (s’ouvre dans un nouvel onglet)

    Portée. Ce que vous publiez et à qui vous l’accordez, c’est vous qui le décidez.

Poursuivez ici

Documentation du vérificateur (s’ouvre dans un nouvel onglet)Dépôt du vérificateur (s’ouvre dans un nouvel onglet)Vérificateur dans le navigateur (s’ouvre dans un nouvel onglet)

Questions sur ATTEST et le Trust Center

Celles que posent ceux qui doivent se fier à une attestation, et ceux qui doivent l’émettre.

Une attestation remplace-t-elle un audit ou une certification ?

Non. C’est une autoévaluation de maturité signée par HodeiShield. Elle prouve l’intégrité, l’origine et le moment d’émission, pas que ce qui est attesté soit vrai. Elle ne remplace pas un audit ni ISO 27001, l’ENS ou une autre certification accréditée.

Que voit exactement mon client ?

Le niveau de maturité de chaque référentiel (quatre niveaux) et le plus faible. Jamais de scores, de montants en euros ni de détail sur vos fournisseurs.

Mon client a-t-il besoin d’un compte HodeiShield pour la vérifier ?

Non. Il télécharge les clés publiques et exécute le vérificateur en code ouvert (Apache-2.0), qui fonctionne hors ligne avec bash 4, OpenSSL 3.5 et python3.

Combien de temps dure-t-elle et que se passe-t-il si une clé est compromise ?

Quinze minutes par défaut et une heure au maximum. Une liste d’état signée permet de révoquer une clé ou les attestations antérieures d’une organisation ; elle ne révoque pas des attestations isolées, et la courte durée de vie le compense.

Le Trust Center doit-il être public ?

Non. Il peut être public ou restreint (NDA / revue manuelle). Les demandes d’accès et les événements sont consignés dans un journal d’audit.

Pourquoi ML-DSA-65 ?

C’est l’algorithme de signature normalisé dans FIPS 204. Il sert à signer les attestations ; il ne protège pas le trafic en direct.

De quelles certifications disposez-vous ?

Hodeitek S.L., l’entreprise titulaire, est certifiée ISO/IEC 27001 et ENS catégorie Moyenne (certificat n° 34/5704/26/09103, OCA Instituto de Certificación), avec un périmètre qui inclut le service SaaS HodeiShield. Nous ne certifions pas la conformité de votre organisation : nous la mesurons.

Voyez une attestation émise et vérifiée

Pendant la démo, nous publions un Trust Center d’exemple, nous émettons une attestation et nous la vérifions hors ligne, avec votre combinaison de référentiels.

Vous préférez vérifier d’abord ? Le vérificateur et la documentation sont publics.

Demander une démoLire la documentation du vérificateur (s’ouvre dans un nouvel onglet)