PD-265-REVIEW-STEP3-V2
Artefact produit : ProbatioVault-backend/docs/epics/legal-compliance/PD-265-monitoring-tsa-lifecycle/PD-265-specification-review.md
Synthese de la revue :
| Gravite | Nombre |
|---|---|
| Bloquant | 0 |
| Majeur | 8 |
| Mineur | 11 |
8 ecarts majeurs identifies :
- R-01 : Incoherence §6 vs §5.9 sur l'alerte critique NTS immediate (§6 l'omet, §5.9 la liste, TC-ERR-01 l'exige)
- R-02 : Canonicalization des signatures d'audit non normee (pas de reference RFC 8785 malgre learning PD-40)
- R-03 : 2 contraintes croisees de §5.2 non couvertes par aucun test
- R-04 : Lifecycle cles (RETIRED → ARCHIVED → DESTROYED) sans SLA, declencheur ni test d'interdiction de reactivation
- R-07 :
signatureKeyId(cle d'audit) non specifiee (nature, rotation, protection) - R-08 : Clearing TRUSTLIST et KEY_LIFECYCLE non testes (seuls NTS et REVOCATION ont des TC de retour)
- R-12 : Toggle MAINTENANCE sans controle d'acces / RBAC specifie (vecteur DoS interne)
- R-15/R-16 : Serveurs NTS de reference et nomenclature metriques non contractualises (identifies aussi par les tests §9)
La specification est globalement rigoureuse avec un modele d'etats composite bien formalise. Les ecarts portent sur la couverture de tests (chemins de retour, contraintes croisees), le formalisme crypto (canonicalization, cle d'audit), et l'observabilite non contractualisee.