Pourquoi nous développons Time Evidence

Time Evidence (nom provisoire) est notre solution de génération de preuves d'audit NTP. Cette page n'est pas une fiche produit : c'est un retour d'expérience, et l'endroit où nous racontons le projet à mesure qu'il avance.

Le problème : une photo, là où l'auditeur demande un film

Face à un auditeur sur la synchronisation temporelle, la plupart des équipes ne peuvent produire qu'un screenshot ntpq pris le jour de l'audit. C'est une photo instantanée. Elle ne dit rien de l'état du parc la semaine précédente, ni du trimestre écoulé.

Conséquence, trois angles morts reviennent systématiquement :

• Aucune preuve historique : l'auditeur doit croire l'auto-déclaration et échantillonner à la main.
• Aucune dérive documentée : rien ne montre qu'un décrochage a été détecté — ni quand, ni combien de temps.
• Aucune garantie d'intégrité : rien ne prouve que l'historique n'a pas été réécrit après coup.

Pourquoi un historique est explicitement demandé

Aucun référentiel sérieux ne se contente d'une horloge « à l'heure » un jour donné. Tous demandent une cohérence surveillée dans le temps :

• ISO/IEC 27001 — A.8.17 : source de temps approuvée, monitoring de dérive actif, logs corrélables.
• PCI-DSS 10.6 / 10.4 : source UTC acceptée, cohérence et peering des sources de temps.
• NIS2, DORA : journalisation fiable et capacité de reconstitution des incidents — ce qui suppose des horodatages cohérents et traçables dans la durée.

Ce que l'auditeur veut, c'est la cohérence interne du parc — machines synchronisées entre elles, sur une source approuvée, dérive détectée, journaux corrélables. Nous détaillons ces obligations sur notre page audit & traçabilité du temps vers UTC et sur les fiches de référence ISO 27001 A.8.17 et PCI-DSS 10.6.

Les choix techniques (sans tout dévoiler)

Time Evidence ne « refait » pas du monitoring. Il produit une preuve tierce, indépendante et historisée de la cohérence d'une infrastructure temporelle. Quelques partis pris déjà arrêtés :

• Observation indépendante. La mesure vient de l'extérieur de votre parc : des observateurs neutres, pas votre propre serveur qui s'auto-déclare à l'heure.
• Historisation scellée (tamper-evident). L'historique est conçu pour que toute réécriture après coup soit détectable : c'est ce qui transforme un graphe en élément de preuve.
• Principe IP-only. Nous n'avons besoin ni de vos noms de machines, ni de votre inventaire. Nous observons des adresses et des comportements de synchronisation — pas votre topologie. RDEM ne connaît pas votre inventaire informatique.
• Ancrage sur une infrastructure réelle. Le dispositif s'appuie sur nos références NTS authentifiées et notre Stratum 1 GNSS — pas sur une source de confiance improvisée.

Pourquoi ne pas attendre le lancement ?

Parce qu'un produit destiné aux audits doit être transparent sur sa conception. Nous avons choisi de documenter publiquement les raisons qui nous ont conduits à développer Time Evidence, les choix techniques effectués, et les retours d'expérience issus de son utilisation sur notre propre infrastructure — avant son ouverture au public. Un outil qui prétend produire de la preuve se doit d'être lui-même vérifiable : cette page en est la première pièce.

Où nous en sommes aujourd'hui

Le moteur tourne déjà — sur notre propre infrastructure, en production :

La preuve vivante : l'état temps réel de nos serveurs et de leurs certificats NTS est déjà public sur notre page de status du pool NTS. Time Evidence ajoute, par dessus, l'historisation longue, la corrélation multi-sondes et la génération de rapports.

Avancement du projet

Cette page est mise à jour à mesure que le projet franchit des étapes réelles. Pas de feuille de route fictive : chaque entrée est ajoutée le jour où elle devient vraie. Cette page sera mise à jour régulièrement jusqu'au lancement afin de documenter les principales étapes du projet.

• 27 juin 2026 Pourquoi ce projet existe : publication de ce retour d'expérience et mise en service des premières sondes d'observation sur l'infrastructure RDEM.

Et ensuite ?

À l'issue de cette phase de développement, Time Evidence permettra de générer automatiquement des preuves historiques destinées aux audits PCI-DSS, ISO 27001, NIS2 ou DORA. Une page de présentation complète sera publiée lors de son ouverture au public.