Principes d’ingénierie

Ce en quoi nous croyons — et comment ça se manifeste dans le produit.

Ce sont des contraintes opérationnelles, pas des slogans. Chacune est vérifiable dans le produit. Si vous trouvez une exception, c’est soit le principe qui est faux, soit l’implémentation — les deux sont des bugs.

01. Calibration plutôt que verdicts

Votre équipe fraude prend la décision finale — Noxtica lui fournit les preuves.

Nous ne retournons pas une réponse par oui ou par non. Nous retournons un niveau de risque, une mesure de confiance et les raisons derrière. Un chargeback, ce n’est pas un échec de connexion. Une nouvelle inscription, ce n’est pas un client qui revient avec des cookies réinitialisés. Vous connaissez votre contexte. Nous vous donnons simplement de meilleures entrées.

Où vous verrez ça

• Chaque vérification retourne un niveau de risque, une mesure de confiance et les raisons derrière le score — jamais un simple flag « c’est un bot ».
• Le tableau de bord opérateur montre la décomposition par catégorie, pas seulement le niveau final.
• Les signaux sous-jacents sont disponibles si vous voulez construire votre propre classifieur par-dessus.

Le compromis

Vous ne pouvez pas coller Noxtica dans un check « if bot, block » en une ligne. Vous écrivez une politique. La politique est courte — généralement dix à vingt lignes — mais elle vous appartient.

02. Des décisions que vous pouvez défendre

Quand une session est signalée sur un vrai client, vos ingénieurs doivent défendre la décision — auprès du service juridique, du produit, du client lui-même.

Chaque catégorie de détection est documentée dans /docs/threat-categories, et chaque seuil est auditable. Si un résultat vous surprend, il est traçable. Si vous n’êtes pas d’accord avec une calibration, elle est réglable.

Où vous verrez ça

• Les raisons dans une vérification correspondent exactement aux noms dans la documentation. Pas de noms de code, pas de rebranding marketing.
• Chaque seuil porte la justification et les données de population qui le sous-tendent.
• Les signaux que Noxtica rapporte sont un contrat documenté, pas une cible mouvante.

Le compromis

Nous ne pouvons pas modifier le modèle en silence. Resserrer un seuil implique d’écrire le changement, de le justifier dans le changelog et de le livrer comme mise à jour versionnée. C’est plus lent qu’une boîte noire. Nous pensons que l’échange en vaut la peine.

03. Les faux positifs ne sont pas des pertes acceptables

Un client bloqué ne revient jamais. Un bot qui passe, c’est un seul chargeback que vous pouvez contester ; un humain bloqué, c’est du churn — et le churn s’accumule.

Nous préférons rater un bot que bloquer un vrai client sur une configuration inhabituelle mais parfaitement légitime. Les seuils sont délibérément orientés vers le laisser-passer des cas limites. Les niveaux de risque existent pour que vous puissiez choisir votre propre compromis, mais les paramètres par défaut sont conservateurs pour une raison.

Où vous verrez ça

• Les niveaux « surveiller ceci » et « challenger ceci » sont délibérément espacés, de sorte que la population entre les deux est majoritairement composée de bots, pas d’humains.
• Les navigateurs vie privée reconnus sont gérés avec indulgence par conception, pas comme une réflexion après coup.
• La politique par défaut dans nos exemples est challenger, pas bloquer — et le blocage est réservé au niveau supérieur, qui par conception ne se déclenche que lorsque plusieurs signaux sont d’accord.

Le compromis

Votre taux de détection avec les paramètres par défaut est inférieur à celui d’un concurrent réglé plus agressivement. Nous pensons que vous attraperez plus de bots en valeur absolue sur l’année, parce que vous conserverez plus de vrais clients pour commencer.

04. Vie privée par construction

Votre responsable de la protection des données dort mieux parce que nous avons conçu ça pour le sien.

Le collecteur ne collecte aucune donnée personnelle. Aucune adresse réseau brute n’est stockée par défaut — seulement un contexte grossier comme le pays, dérivé puis supprimé. Aucun appel tiers ne se produit pendant la vérification. Ce que nous stockons est un résumé brouillé et unidirectionnel, jamais des valeurs brutes, et la clé de signature tourne régulièrement. Nous ne pouvons pas vendre ce que nous n’avons jamais collecté.

Où vous verrez ça

• Pendant la collecte, le navigateur fait exactement une requête : un envoi same-origin vers votre propre backend avec le résultat scellé. Pas de télémétrie tierce, pas de balises analytics, pas de polices récupérées ailleurs.
• La vérification de notre côté ne nécessite pas de lookups supplémentaires — l’image complète est dans le résultat, il n’y a rien à récupérer à nouveau.
• Les durées de rétention des données varient selon le plan, et la suppression définitive sur demande est appliquée au niveau de la couche de stockage, pas comme un flag logiciel.

Le compromis

Nous ne pouvons pas enrichir le modèle avec des données inter-clients. Un bot détecté sur le site d’un client n’est pas automatiquement connu de la vérification d’un autre client. Nous utilisons des agrégats au niveau de la population pour la calibration, mais nous ne relions jamais des individus entre clients.

Comment les principes se composent

Ces quatre principes ne sont pas indépendants — ils se renforcent mutuellement.

• La calibration plutôt que les verdicts (01) ne fonctionne que si les décisions sont défendables (02), parce que sans le raisonnement documenté vous ne pouvez pas lire la calibration.
• Les décisions défendables (02) sont ce qui rend l’aversion aux faux positifs (03) vérifiable — vous pouvez auditer les seuils et prouver que les paramètres par défaut sont conservateurs.
• La vie privée par construction (04) est ce qui garde le modèle lisible. Nous n’avons pas mille fonctionnalités inter-clients ; nous en avons quelques dizaines, chacune liée à un signal dont vous pouvez lire la documentation.

Si nous ajoutons un cinquième principe, il devra renforcer ces quatre-là. S’il ne le fait pas, nous ne le livrerons pas.

Lectures complémentaires

• Pourquoi la calibration, pas les verdicts — la philosophie qui sous-tend le principe 01.
• Catégories de menaces — la surface documentée que le principe 02 promet.
• Cas d’usage — à quoi ressemblent les principes 03 et 04 en production.