سيادة تقرؤها في الكود.

الحد الخارجي هو سحابتك الخاصة الافتراضية

تُنشر أورينتا كنظام مستضاف ذاتياً داخل سحابتك الخاصة الافتراضية (VPC)، في منطقتك. الحد المرسوم في المخطط هو المكان الذي يعمل فيه كل مكوّن فعلياً — الاستقبال، والحساب، والتخزين، وسجل الأدلة. لا شيء في المنتج يفترض اتصالاً راجعاً بنا، ولهذا تصمد إجابة إقامة البيانات أمام العناية الواجبة: لا يوجد مخطط ثانٍ.

مفاتيح يحتفظ بها العميل

جذور الأدلة موقَّعة بخوارزمية Ed25519 بمفاتيح تحتفظ بها أنت — جاهزة لوحدات HSM (PKCS#11) حسب التصميم. لا نستطيع التوقيع نيابةً عنك، وهذا هو المقصود تحديداً: لا قيمة لسجل أدلة إلا حين يكون المزوّد عاجزاً بنيوياً عن اصطناعه.

‏OCR والاسترجاع والقياس داخل المنطقة

المكوّنات التي يعهد بها معظم المزوّدين إلى الخارج بهدوء — OCR، والاسترجاع، وحتى القياس — تعمل داخل الحد، ويؤكد كل منها إقامته وقت التشغيل لا في وثيقة سياسات. والمكوّن الذي لا يستطيع التصريح بمكان عمله يُعامل كفشل في الإعداد، لا كحاشية.

الموجّه ذو الإيقاف الآمن

كل استدعاء لنموذج يمر عبر موجّه له قاعدة صارمة واحدة: إذا لم يتوفر المسار داخل المنطقة، يرفع استثناءً بدلاً من اللجوء إلى أي واجهة برمجية أجنبية. لا يوجد لجوء سحابي «مؤقت»، ولا وضع متدهور يرسل فاتورة إلى الخارج بصمت. الفشل صاخب حسب التصميم — السهم المشطوب في المخطط مسارُ كودٍ ينتهي باستثناء، لا بإعادة محاولة.

بيان الخروج

سهم واحد يغادر الحد. لا يحمل سوى البصمات التشفيرية — بصمات تجزئة، لا مستندات أبداً — ولا يتحرك إلا حين يطلقه إنسان. كل ما يعبر مُعدَّد في بيانٍ يمكنك قراءته، فيصبح سؤال «ما الذي غادر المبنى؟» سؤالاً له جواب دقيق قابل للفحص.

بوابة بدء التشغيل الإنتاجي

عمليات النشر نصف المُهيَّأة هي الطريقة التي تتآكل بها السيادة عملياً. ترفض بوابة بدء التشغيل الإقلاع إذا كان الإعداد ناقصاً — مفاتيح مفقودة، أو إقامة غير مؤكَّدة، أو بوابات غائبة — فيكون أول فعل للنظام في الإنتاج أن يفحص نفسه، وثانيه أن يصرّح بذلك.

إيقاف آمن للخروج في كل موضع — مُثبَتُ الاكتمال

كل استدعاء صادر يحمل بيانات — OCR، والنموذج، والاسترجاع، والقياس، والاستعلام عن سجل TRN — يؤكد بقاءه داخل المنطقة ويرفع استثناءً بدلاً من اللجوء إلى بديل، في الوضعين السيادي والهجين. وتستند هذه التغطية إلى جردٍ شاملٍ لكامل المستودع لكل مسارات الخروج، فيعني «الإيقاف الآمن» كل ملتقىً، لا معظمها.

بوابة بدء التشغيل شاملة وذاتية الصيانة

بوابة الإنتاج التي ترفض الإقلاع نصف مُهيَّأة باتت تحمل تغطيةً مُدقَّقة واختباراً فوقياً — فلا يمكن إطلاق ملتقىً جديدٍ حرجٍ للإنتاج دون أن يكون محكوماً ببوابة.

حارس الإرسال

إذا صرّح نظام نشرٍ بأنه يرسل إلى مزوّد خدمة معتمد دون أن يكون المُرسِل موصولاً، فإنه يرفض الإقلاع — فلا يمكن للإيداع أن يمرّ بلا فعلٍ في صمت.