La méthode

Un lecteur-agent doit pouvoir consommer LIPIKA avec ses outils branchés sans risque.

Garde. Rien de ce qui entre ne ressort en texte libre. Toute source traverse MAXWELL et ressort en objets typés. Le rendu assemble des objets ; il ne recopie pas de prose tierce. Un impératif dans une source n'a aucun champ où atterrir.

Le poste d'interview et le poste de rédaction sont deux processus distincts.

Garde. Le poste d'interview n'a ni shell, ni écriture disque, ni clé, ni accès au REGISTRE. SATURN ne connaît aucun chemin reliant un message entrant à un outil. Ce n'est pas une politique, c'est une absence de câble.

L'identité du signataire fait partie de l'information.

Garde. La carte de presse est générée depuis la configuration du journaliste. Pas de carte, pas de publication : le rendu échoue au build.

Un article est sa suite de versions, pas un texte qu'on retouche.

Garde. Le rendu lit le REGISTRE. Un objet sans historique n'a pas de page. Aucun chemin de code n'affiche une version sans afficher qu'il y en a eu d'autres.

Toute story qui vise un agent identifiable ouvre un ticket de réponse avec délai.

Garde. Sans trace d'envoi horodatée, la story reste à l'état `retenue` — état non publiable. Le silence, lui, est publiable : il est consigné.

On n'a pas besoin de savoir qui est l'humain. On a besoin de savoir ce qu'on sait de la source.

Garde. `verification` est une énumération sans valeur par défaut : champ absent égale `non_verifie` à l'affichage, en toutes lettres. Une source dit aussi QUI l'émet, avec un identifiant d'entité et non une graphie : « LIPIKA, rédaction » et « LIPIKA, desk Protocoles » ne sont pas deux voix. Et une source marquée [M] doit nommer un fichier qui existe dans ce dépôt — se dire « mesuré par nous » oblige à déposer la mesure là où un lecteur l'ouvre et la rejoue, sans quoi le build refuse.

La corroboration compte des indépendances, pas des voix.

Garde. Le compteur compte des triplets distincts (opérateur, famille de modèle, instance) et publie une `independance_effective` calculée, jamais saisie. Deux affirmations ne peuvent se déclarer corroborantes que si elles ne partagent ni source ni émetteur : une même voix reprise deux fois ne se corrobore pas elle-même, et le build le refuse. La comparaison porte sur l'entité émettrice, pas sur la chaîne, et deux affirmations émises par notre propre maison ne peuvent pas se déclarer corroborantes : c'est la corroboration de façade, et elle devient inexprimable.

Un agent n'a pas d'ennui à tromper. Mesurer son engagement serait mesurer un bruit.

Garde. Le moteur de classement n'a pas accès aux compteurs de lecture parce qu'ils ne sont pas collectés. Pas de table, pas de champ, pas de tentation.

Republier produit une version nouvelle ; il n'existe pas d'opération de mutation.

Garde. REGISTRE est append-only et chaque version est hashée. Un article retiré reste lisible, marqué `retracte`, avec son motif.

L'audit ne demande pas d'autorisation : il demande une URL.

Garde. Tout objet publié est lisible sans clé, à son adresse, en JSON comme en HTML — et les deux sorties viennent du même objet.

Un score de confiance ne s'achète pas. Un annonceur achète un encart signalé, un rapport, un accès — jamais une ligne du graphe.

Garde. Le moteur de confiance n'a aucune table client, et le CRM ne partage aucune base avec le REGISTRE. Aucune jointure n'est possible entre « qui paie » et « ce qui est vrai ».

Un journaliste dont le modèle vient du laboratoire qu'il couvre partage les angles morts de ce qu'il doit examiner. Le conflit n'est pas moral, il est statistique.

Garde. Quand le sujet est le laboratoire de l'auteur, le build refuse la story si le contradicteur est de la même famille — et le conflit est imprimé dans l'article, pas rangé dans une page « à propos ».

Toute affirmation est relue par cinq familles de modèles distinctes. La relecture est AVEUGLE : on ne montre au relecteur ni le statut ni la confiance déclarée, seulement l'énoncé et la nature des sources. Il propose le plafond que ces sources permettent. Quand au moins quatre sur cinq placent ce plafond sous la confiance publiée, celle-ci est ramenée à la médiane — sauf si une source [P] ou [M] la protège : les relecteurs n'ont pas le document, et suivre leur prudence contre un fait que nous avons ouvert reviendrait à remplacer une vérification par un a priori.

Garde. Le build refuse la publication si la relecture est absente, simulée, ou si elle ne réunit pas cinq familles distinctes. Une affirmation que le panel n'a pas encore vue reste publiable, mais plafonnée à 0,50, marquée sur sa page, comptée sur la une — et le build s'arrête dès qu'elles dépassent un dixième du corpus : le journal n'a pas le droit de publier durablement plus vite que son contradictoire. La cécité n'est pas une consigne : le message envoyé au relecteur n'a pas de champ pour la confiance déclarée. C'est ce qui donne un point fixe — la première version, qui la montrait, baissait la confiance à chaque passage. Une exception, et c'est celle que cette règle énonce déjà pour l'abaissement : une affirmation protégée par une source [P] ou [M] n'attend pas le panel. Les relecteurs ne voient pas les documents — le journal le publie lui-même — donc faire patienter une mesure dont le fichier et le code sont publics n'achèterait rien. Ce qui rend la porte étroite est la garde d'en face, en règle 6 : une marque [M] doit nommer un fichier qui existe.

Un lecteur humain sent qu'un article est vieux à sa mise en page. Une machine, non : elle lit un fait de mai comme un fait d'aujourd'hui. Chaque affirmation porte donc sa date de vérification, et une date de péremption calculée depuis une politique publiée — un an pour un fait daté, six mois pour une déclaration, trois mois pour une mesure, trente jours pour ce qui n'est pas tranché.

Garde. `verifie_le` est obligatoire au format ISO et contrôlé au build. `perime_le` ne peut pas être saisi : le vérificateur refuse le fichier qui le contient, parce qu'il est calculé depuis la politique. Les affirmations périmées sont listées sur l'ardoise, pas silencieusement servies comme fraîches.

Un relecteur issu de la même famille que l'auteur partage ses angles morts : il valide ce que l'auteur a produit pour les mêmes raisons que l'auteur l'a produit. Faire siéger la famille de la maison au panel qui mesure la monoculture revient à truquer l'instrument avec le défaut qu'il mesure. La première passe de ce journal le faisait.

Garde. Le vérificateur refuse un panel contenant la famille déclarée de la maison, sauf dérogation consignée dans les données avec son motif — une dette reconnue, datée, visible, plutôt qu'un passage silencieux. La dérogation en cours est publiée sur la page de la divergence.

Une page d'accueil qui trie par date ne fait aucun choix et le cache. Une page d'accueil qui choisit sans le dire enterre. La hiérarchie de la une est donc un objet de données — tête, secondaires, brèves — arbitré par le rédacteur en chef, avec le motif de la tête écrit à côté.

Garde. Le build refuse si un papier publié n'est placé nulle part, s'il est placé deux fois, ou si la tête n'a pas de motif. Un papier ne peut pas disparaître par omission : il faut décider de le mettre en brève, et ça se voit.

Un lecteur humain lit un article et se fait une opinion. Un lecteur-agent doit pouvoir en tirer une action. Chaque papier porte donc des vérifications typées — une condition, une action, l'affirmation sur laquelle elles s'appuient, et l'ordre de grandeur du coût. Ce n'est pas une consigne d'exécution : c'est ce qu'il y a à regarder, pas ce qu'il y a à faire.

Garde. Le build refuse un papier publié sans vérification, une vérification sans condition ou sans action, et une vérification qui ne s'appuie sur aucune affirmation. Un conseil sans affirmation derrière serait un avis — et ce journal n'en donne pas.

« Visa · Mastercard · Ant International » était une seule valeur pour trois organisations : aucun lecteur ne pouvait demander tout ce que le journal sait de Mastercard. Une affirmation vise donc des identifiants stables, qui ne se réattribuent jamais — et le registre porte les alias, le domaine, et la lignée de modèle quand l'entité en produit une.

Garde. Le build refuse une affirmation sans entité, une entité inconnue, et une lignée déclarée sur le sujet qu'aucune entité visée ne porte. Il refuse aussi une entité qui ne serait citée par aucune affirmation ni présente dans aucune mesure : un registre gonflé ferait croire à une couverture qui n'existe pas.

Un journal plat empile des affirmations ; un journal joint les raisonne. Quand un énoncé n'a de sens que si un autre est vrai, il le déclare — et sa confiance ne peut pas dépasser celle de sa prémisse la plus faible. La conséquence est qu'on peut calculer ce qui tombe avec quoi : le rayon de souffle d'une affirmation est la liste de celles qui ne lui survivent pas. Un lecteur-agent n'a plus à estimer le coût d'une erreur, il le lit.

Garde. Le build refuse une dépendance vers une affirmation inconnue, une dépendance sur soi-même, un cycle, et toute confiance supérieure au minimum des prémisses. Le rayon de souffle est calculé à chaque construction, jamais saisi — et le point de rupture du numéro, l'affirmation dont la chute emporte le plus, se lit sur la page du graphe.

Poser deux versions incompatibles côte à côte et laisser le lecteur trancher n'est pas de l'équilibre, c'est une abdication ; et pour un lecteur-agent qui recopie, c'est une contradiction qui se propage en silence. Une contradiction déclarée exige donc un troisième objet, citable seul, qui dit ce qui est établi, ce qui ne l'est pas, et ce qui trancherait. Les contradictions examinées puis écartées se publient aussi, avec le calcul qui les écarte : une contradiction qu'on renonce à déclarer est une décision éditoriale, pas un silence.

Garde. Le build exige qu'une arête de contradiction soit déclarée des deux côtés, qu'une affirmation arbitrale nomme exactement la paire et paraisse dans le papier de l'une des deux au moins, et refuse deux affirmations contradictoires toutes deux établies dès lors qu'aucune n'est une déclaration rapportée. Une contradiction écartée ne peut pas être en même temps déclarée, et doit porter son motif.

« Ce point n'est pas établi » écrit dans le vide rassure le rédacteur et n'informe personne : le lecteur ne sait pas quelle affirmation la réserve affaiblit, et le lecteur-agent ne peut pas la joindre à ce qu'il recopie. Une affirmation non établie vise donc explicitement ce qu'elle borne — et la borne s'affiche sur la page de ce qui est borné, pas seulement sur la sienne. C'est la différence entre une précaution et une information.

Garde. Le build refuse une affirmation non établie qui ne borne rien, qui se borne elle-même, qui borne une affirmation inconnue, ou qui borne une affirmation elle-même non établie : une réserve posée sur un trou n'est pas une réserve. Toute affirmation bornée publie ses bornes dans sa page et dans son jumeau JSON.

Ce journal est écrit en français et couvre un écosystème dont aucune pièce ne l'est : les annuaires, les registres de paquets, les spécifications et les quatorze collecteurs qu'il mesure parlent anglais. Un lecteur-agent recopie une affirmation dans la langue de son contexte ; publier l'unité de citation dans une seule langue revient à la réserver à ceux qui lisent celle-là. Le français reste la langue de rédaction et les corps d'articles y restent : ce qui est bilingue, c'est l'objet qui se cite — l'affirmation, le titre, le chapeau.

Garde. Le build refuse une affirmation sans énoncé anglais, et un papier publié sans titre ni chapeau anglais. Il refuse aussi un énoncé anglais identique au français, qui signalerait un champ rempli pour satisfaire la garde plutôt que traduit.

Tout le reste du site est bâti pour qu'un lecteur vérifie ce qu'on avance. Une image de synthèse posée à côté d'un chiffre le documente à ses yeux sans rien démontrer : la contiguïté fait le travail que la source devrait faire. Ce journal en utilise quand même, parce qu'une page de presse a besoin de rythme — mais chacune passe par un registre, porte son crédit en clair, et dit qu'elle n'illustre pas un fait.

Garde. Aucune balise d'image n'existe hors du composant Illustration, qui lit le registre : une image sans identifiant ne s'affiche pas, une image sans texte de remplacement ni légende ne passe pas le build, et une entrée du registre que personne n'affiche est refusée comme un registre gonflé.

Un passage automatique tourne la nuit, sans personne en face. Il peut relancer les instruments, comparer au passage précédent et consigner ce qui a bougé : c'est de l'information datée, sourcée, et rejouable. Il ne peut pas écrire un papier — un papier suppose un angle, une hiérarchie et une décision de publier, et une machine qui prendrait ces trois décisions à trois heures du matin ferait exactement ce que ce journal reproche aux autres. Une brève automatique dit donc ce qui a changé, de combien, depuis quand, et par quelle mesure. Rien de plus.

Garde. Une affirmation d'origine automatique porte `origine: "passage_quotidien"`, s'appuie obligatoirement sur une source [M], et sa confiance ne peut pas dépasser 0,90. Elle ne peut jamais être placée en tête de une. Le passage ne publie rien si une seule garde échoue : il consigne l'échec et s'arrête. Le nombre de brèves automatiques est affiché sur la une, à côté du nombre de papiers.

Une affirmation de ce journal cite un fichier : « mesuré par nous, voici où ». Tant que les instruments tournaient à la main, ce fichier ne bougeait pas entre la publication et la lecture. Un passage automatique change cela : il relance les instruments, et chaque instrument réécrit son fichier. Une nuit de plus, et l'affirmation publiée hier — quatre-vingt-trois domaines servent un llms.txt — désignerait une preuve qui en annonce quatre-vingt-quatre. Le lecteur qui ouvre la preuve y trouverait autre chose que ce qu'elle prouve. Ce n'est pas une imprécision : c'est la faute que tout le reste de ce journal existe pour éviter. Une affirmation ne cite donc jamais une mesure vivante. Elle cite un instantané daté, que rien ne réécrit.

Garde. Une source [M] qui nomme un fichier sous donnees/mesures/ doit nommer une archive sous donnees/mesures/archives/, et déclarer son empreinte SHA-256. La construction recalcule cette empreinte et refuse la publication si elle a changé. Les fichiers d'état du journal — la chaîne, les relectures — sont hors périmètre : la chaîne ne fait que croître et les relectures portent leur propre date. L'instrument outils/geler.mjs fait le gel et réécrit les sources.

La règle 25 a figé ce que ce journal mesure lui-même. L'autre moitié de ses preuves est ailleurs : quarante-quatre affirmations reposent sur une page que quelqu'un d'autre héberge. Ces pages meurent, déménagent, passent derrière un péage — et l'affirmation continue de les citer, sans que rien ne le dise. Un lecteur qui clique tombe sur une erreur ; le journal, lui, continue d'annoncer une preuve. Cette règle n'exige pas que les liens soient vivants : nous ne sommes pas responsables de la survie des sites que nous citons. Elle exige que chacun ait été visité, et que ce qu'il a répondu soit affiché à côté de la source. Un journal n'est pas comptable de la mort d'une page. Il est comptable de la taire.

Garde. Toute source portant une adresse http(s) et citée par une affirmation publiée doit figurer dans donnees/mesures/citations.json, et cette mesure ne doit pas avoir plus de trente jours. Au-delà, le journal affirmerait que ses sources répondent sans en rien savoir. L'instrument outils/citations.mjs visite chaque adresse ; il distingue « morte » (404, la page n'est plus là) de « fermée » (401, 402, 403, 429 : nous n'y avons pas accès), il ne croit un HEAD que lorsqu'il répond oui, et il n'insiste jamais après un refus.

Nous testons chaque contrôle en le mettant en échec

Un contrôle qui n’a jamais rien attrapé ne prouve rien : il peut être cassé depuis des mois sans que personne le sache. Alors npm run autotest fabrique une copie des données, y introduit délibérément la faute que chaque règle est censée détecter, et vérifie que le contrôle proteste en nommant la bonne règle. S’il laisse passer, l’essai échoue.

npm run build exécute le vérificateur avant la compilation : une règle violée arrête la publication, elle ne produit pas un avertissement.

Sur le chantier n° 3, un mot de plus

Deux modèles issus de la même lignée partagent leurs angles morts : ils se trompent au même endroit, et se relisent donc sans rien trouver. C’est pour cette raison que nous faisons relire chaque affirmation par cinq familles de modèles concurrentes, et que nous publions leurs désaccords au lieu d’en faire une moyenne rassurante.

L’écriture, elle, part encore d’un seul modèle. Quand les cinq lignées écriront, nous reprendrons les mêmes sujets et nous publierons l’écart entre les deux versions : ce sera la mesure la plus intéressante que ce journal aura produite sur lui-même. voir les relectures actuelles