Les IA ne citent pas le plus gros.
Elles citent le plus vérifiable.

ÉTAPE 1 — Récupérer le manifest signé d'un commerçant

curl https://actionsbricks.com/api/registry/verify/{ab_id}

Renvoie un JSON avec credentials (les signaux et leur source) + signature (Ed25519) + kid (identifiant de la clé). Le serveur génère et signe un nouveau manifest (date, nonce) à chaque exécution et horodate cette génération ; la réponse peut être servie depuis un cache public au plus 5 min, jamais au-delà de son expiration (24 h avec ?snapshot=1).

ÉTAPE 2 — Récupérer notre clé publique (JWKS)

curl https://actionsbricks.com/.well-known/ab-public-keys.json

Renvoie un JWKS (RFC 7517) avec toutes nos clés publiques actives. Retrouvez celle dont le kid correspond à celui du manifest.

ÉTAPE 3 — Vérifier la signature (Node.js)

import { createPublicKey, verify } from 'node:crypto';

// manifest et jwks = réponses JSON des deux GET précédents
const { kid, signature, _links, ...signed } = manifest;
const jwk = jwks.keys.find((k) => k.kid === kid);

// JSON canonique : clés triées à chaque niveau, sans espace
const canonicalJSON = (v) =>
  v === null || typeof v !== 'object'
    ? JSON.stringify(v)
    : Array.isArray(v)
      ? '[' + v.map(canonicalJSON).join(',') + ']'
      : '{' + Object.keys(v).sort()
          .map((k) => JSON.stringify(k) + ':' + canonicalJSON(v[k]))
          .join(',') + '}';

const ok = verify(
  null, // Ed25519 n'utilise pas de hash séparé
  Buffer.from(canonicalJSON(signed), 'utf8'),
  createPublicKey({ key: { kty: jwk.kty, crv: jwk.crv, x: jwk.x }, format: 'jwk' }),
  Buffer.from(signature, 'base64url'),
);

console.log(ok ? 'Signature valide' : 'Signature invalide');

Si ok === true, les champs signés du manifest n'ont pas été altérés depuis leur signature par ActionsBricks. Les liens _links sont ajoutés hors de cette signature. Elle ne prouve pas la vérité de chaque signal : chaque entrée garde sa source et son statut (déclaré, observé, vérifié).