L’agent ne détient jamais d’identifiants d’écriture. Il propose ; COLVO décide au regard du mandat, retient pour approbation si nécessaire, exécute exactement une fois et vérifie le résultat auprès du fournisseur.
Quatre étapes, toutes journalisées en append-only. Rien n’atteint Stripe tant que la politique ne l’autorise pas.
ex. « rembourser 500 € sur le paiement pi_01 », envoyée avec l’id du mandat et l’id de la demande d’origine. Idempotency-Key respectée.
Identité, périmètre, limites, devise, plafonds par utilisateur final, guardrails et état du fournisseur : tout est vérifié avant le moindre envoi.
Les actions autorisées s’exécutent de façon idempotente via l’exécuteur de COLVO ; les actions risquées attendent un humain avec un résumé exact ; les violations sont refusées.
Un contrôle en lecture seule confirme l’état du fournisseur. Attendu ≠ observé ouvre un incident : jamais de « terminé » silencieux.
Remboursement de 50 € sur le moyen de paiement d’origine : exécuté une fois, puis vérifié.
Inhabituelle mais plausible : mise en attente avec un résumé exact, pour qu’un relecteur l’approuve ou la rejette.
Données nécessaires indisponibles : aucune écriture tant que l’état n’est pas de nouveau lisible.
500 € dépassent la limite de 50 € : bloqué avant même d’atteindre Stripe.
Votre backend de confiance enregistre un mandat : qui est le sujet, quelles actions sont autorisées, les limites et l’échéance. L’agent ne peut proposer qu’à l’intérieur de ce cadre.
Grâce à des clés métier stables, à la réservation du budget et à un outbox transactionnel, une relance, un crash ou un double clic ne crée jamais un second remboursement.
idempotentQuand Stripe répond en retard, refuse ou expire, l’opération se réconcilie à partir de l’état du fournisseur lui-même au lieu de deviner.
réconciliationMettez un projet en pause : aucune nouvelle écriture, les actions en cours sont retenues puis remises en file à la reprise. Un clic, journalisé.
pause / repriseLes relecteurs approuvent l’empreinte de l’action exacte, pas un résumé. Si la proposition change, l’approbation devient caduque.
empreinte signéeMISMATCH et UNVERIFIABLE ouvrent des incidents avec les preuves jointes ; les alertes partent vers Slack, par e-mail ou via un webhook.
alertesEn append-only : la proposition, les motifs de la politique, l’approbation, les tentatives d’exécution et l’instantané de vérification.
prêt pour l’auditGuard est inclus dans la formule Guard ou peut être débloqué par organisation. Voir les tarifs →
Trente minutes : nous exécutons votre flux de remboursement dans la sandbox et vous montrons Guard refuser le remboursement de 500 € qu’un mandat de 50 € n’a jamais autorisé.