Dlaczego nie zwykły certyfikat
| Wymiar | Certyfikat klasyczny | RGC |
|---|---|---|
| Jak często | raz na 1–3 lata | przy każdym wdrożeniu |
| Co bada | dokumentację i procedury | żywą produkcję |
| Postać | PDF podpisany przez człowieka | kod, który się wykonuje |
| Gdy niezgodność | uwaga w raporcie | blokada wdrożenia |
| Historia | archiwum dokumentów | łańcuch haszy — nie do przepisania |
Sześć kategorii, 25 wymogów
A · Poprawność danych
Sumy zgodne ze źródłem co do najmniejszej jednostki, kwoty w liczbach całkowitych, zapis idempotentny, żadne pole nie ginie po cichu.
B · Bezpieczeństwo i izolacja
Dane jednego podmiotu nieosiągalne dla drugiego, uprawnienia sprawdzane przy każdym odczycie, sekrety nigdy jawnym tekstem.
C · Ciągłość działania
Wdrożenie bez przerwy i bez zrywania połączeń, spójność wersji między węzłami, awaria zależności = degradacja zamiast pustego ekranu.
D · Wydajność
Czas do interaktywności, zero pracy serwera na kliknięcie użytkownika, rozmiar odpowiedzi proporcjonalny do treści.
E · Czas rzeczywisty
Zmiana widoczna u drugiego użytkownika bez odświeżania strony, brak odpytywania cyklicznego, dane binarne na łączu.
F · Higiena inżynierska
Zero ostrzeżeń w kodzie i w testach, testy przechodzą, brak martwego interfejsu.
Poziomy
Poziom przyznaje się w całości. Jeden wymóg bez dowodu = brak poziomu. Wymóg, którego nikt nie zmierzył, liczy się jak niezdany — to celowy bezpiecznik przeciwko certyfikatowi, który nic nie sprawdza.
Uruchom u siebie
Standard bada zachowanie z zewnątrz, przez zwykłe interfejsy sieciowe. Nie musisz udostępniać kodu ani niczego przepisywać — działa niezależnie od technologii, w jakiej zbudowano platformę.
rgc-verify --url https://twoja-platforma.pl \
--konto-testowe plik.env \
--poziom 3Część wymogów (sekrety, ostrzeżenia w kodzie, spójność węzłów) wykonuje właściciel instancji u siebie — z sieci ich nie widać. Ich wynik wchodzi do raportu z osobną adnotacją.
Jak sprawdzić, że nie oszukujemy
Każdy wynik jest podpisany kluczem instancji (Ed25519) i zawiera skrót poprzedniego wyniku. Trzy kroki, bez zaufania do nas:
- przelicz skrót wpisu i porównaj z zapisanym,
- sprawdź podpis kluczem publicznym instancji,
- sprawdź, czy wpis wskazuje na skrót poprzedniego.
Usunięcie niewygodnego wyniku rozrywa łańcuch i widać to natychmiast. Audytor może przymknąć oko na jedną złą noc — łańcuch haszy nie potrafi.
Co pokazujemy, a czego nie
| Jawne | Niejawne |
|---|---|
| specyfikacja i zestaw testów · poziom · licznik zdanych · data · skrót wydania · stan kategorii | które wymogi nie przeszły i dlaczego · nazwy zasobów wewnętrznych · wersje komponentów · dane pomiarowe |
Publiczny opis własnej słabości to instrukcja dla atakującego, a nie przejrzystość. Metoda badania jest jawna — luki konkretnej instancji nie. Gdy poziom nie jest przyznany, plakietka mówi neutralnie „weryfikacja w toku".