SENTINELLE · Flotte

Acteurs certifiés–

Messages acceptés par les pairs–

Messages refusés par les pairs–

RAPACE-07–

Tiers radio · ordres injectés–

Théâtre d'opération — chaque lien est un message signé, vérifié hors ligne par son destinataire

Glisser pour pivoter (met la rotation en pause) · molette pour zoomer · clic droit pour déplacer · Espace : pause / reprise

message accepté message refusé ordre du tiers radio bouclier : ordre rejeté par le destinataire drone · robot terrestre · pilote de terrain · poste C2 (radar) · agent IA · antenne rouge = tiers sur le lien radio

Modèle de sécurité

Une identité par acteur. Chaque drone, robot ou agent IA a sa propre clé (VaultysID). Aucun secret de flotte partagé : en compromettre un ne compromet pas les autres.
Moindre privilège. Chaque acteur ne peut faire que ce que son certificat accorde. Un drone compromis donne à l'attaquant ces droits, pas plus.
Vérification par les pairs. Chaque message porte une preuve de statut signée par le plan de contrôle (TTL 6 s). Impossible à forger sans la clé du plan de contrôle.
Révocation. Écriture irréversible dans le registre. Au plus tard un TTL après, plus aucun pair n'accepte le drone : il est coupé de la flotte, qui continue sa mission.

Limite assumée : un tiers peut compromettre un drone via son outil de communication. Il agit alors avec les droits de ce drone jusqu'à la révocation. Le certificat ne neutralise pas physiquement l'appareil ; il garantit que la flotte et le C2 cessent de lui faire confiance.

Journal de décisions

Membres de la flotte

Acteur	Rôle	Statut	Capacités accordées	Acceptés	Refusés