2026-09-16 timestamp git blockchain proof

Qu’est-ce que la preuve cryptographique de paternité pour le code ?

Si vous avez déjà eu besoin de répondre à la question « quand ce code a-t-il existé pour la première fois ? », vous comprenez déjà pourquoi la preuve cryptographique de paternité est importante. Il ne suffit pas de dire que vous avez écrit quelque chose. Dans un litige juridique, un audit ou une contestation de brevet, vous avez besoin de la preuve qu’un commit spécifique a existé à un moment précis — une preuve qui ne peut pas être modifiée, antidatée ou écartée comme un simple journal interne.

C’est ce que fournit la preuve cryptographique de paternité pour le code : un enregistrement infalsifiable et mathématiquement vérifiable qui lie un commit Git à un instant donné. Cet article explique ce que cela signifie réellement, comment cela fonctionne sous le capot, et comment Timestamp GIT en fait un flux de travail GitHub App sans configuration.

Que signifie la preuve cryptographique de paternité ?

La preuve cryptographique de paternité repose sur deux éléments fondamentaux :

Le moment d’existence : prouver que le code existait à une date donnée ou avant celle-ci.
Le contexte de paternité : relier ce code à un commit, un dépôt, des métadonnées d’auteur ou une entité spécifique.

Un hash de commit Git est un bon point de départ. Git génère un hash unique à partir de l’état du dépôt, du message de commit, du commit parent et des métadonnées de l’auteur. Le même code, commité à un moment différent ou avec des métadonnées différentes, produit un hash différent.

Mais un hash seul ne prouve pas quand il a existé. N’importe qui peut générer un commit Git localement et régler l’horloge système sur une date antérieure. Les journaux internes, les horodatages de push GitHub et les enregistrements serveur peuvent également être manipulés ou contestés comme étant intéressés. L’enregistrement du droit d’auteur aide, mais il est lent, coûteux dans certains contextes, et n’offre pas la même certitude cryptographique.

L’approche la plus robuste consiste à prendre le hash du commit Git et à l’ancrer dans un registre public et immuable : la blockchain Bitcoin. Une fois ce hash intégré dans un bloc Bitcoin, son existence à ce moment-là devient mathématiquement vérifiable. Aucune entreprise, aucun développeur, aucun attaquant ne peut modifier rétroactivement un bloc Bitcoin sans refaire une quantité de travail impossible.

C’est l’étalon-or de la protection de l’antériorité : un hash cryptographique de votre travail, figé dans un registre public, vérifiable par n’importe qui pour toujours.

Une analogie simple : sceller votre code dans un coffre public

Imaginez que vous écrivez un document et que vous le placez dans une enveloppe scellée. Vous n’ouvrez pas l’enveloppe en public. Au lieu de cela, vous calculez une empreinte unique du contenu de l’enveloppe et vous publiez cette empreinte dans un coffre public qui ne peut être ni ouvert ni modifié.

Plus tard, si quelqu’un prétend avoir inventé la même idée après vous, vous pouvez pointer vers le coffre et dire : « Mon empreinte était déjà ici à cette date. » L’empreinte ne révèle pas ce qu’il y a dans l’enveloppe, mais elle prouve que l’enveloppe existait.

En termes logiciels :

L’enveloppe est votre dépôt Git.
L’empreinte est le hash du commit Git.
Le coffre public est la blockchain Bitcoin.
La preuve d’existence est le fichier de reçu .ots.

C’est un processus à divulgation nulle de connaissance. Timestamp GIT ne voit jamais votre code source. Il traite uniquement le hash du commit. Un hash ne peut pas être inversé pour révéler le code, vous pouvez donc prouver l’existence sans divulguer la logique propriétaire, les secrets commerciaux ou le travail inachevé.

Comment fonctionne la preuve cryptographique de paternité sous le capot

Le processus complet comporte trois étapes.

Étape 1 : Empreinte

Chaque fois que vous faites un commit, Git produit un hash unidirectionnel unique. Ce hash peut être SHA-1 ou SHA-256 selon le format du dépôt. Il représente l’état exact du dépôt à ce commit, y compris le contenu des fichiers, les métadonnées du commit, les champs auteur et committeur, et le message de commit.

Vous pouvez voir le hash du dernier commit localement avec :

git rev-parse HEAD

Cette sortie est l’empreinte cryptographique de votre code à ce moment précis.

Étape 2 : Ancrage

Le hash du commit est collecté avec d’autres hashes de commits en attente d’horodatage. Timestamp GIT construit un arbre de Merkle à partir du lot quotidien de hashes. La racine de Merkle est ensuite intégrée dans une transaction Bitcoin en utilisant le protocole OpenTimestamps.

Le point clé : votre hash de commit individuel devient cryptographiquement connecté à un bloc Bitcoin spécifique. Une fois ce bloc confirmé, l’horodatage est immuable.

Étape 3 : Preuve

Vous recevez un fichier de reçu .ots immuable. Ce reçu contient le chemin cryptographique allant de votre hash de commit jusqu’à l’en-tête du bloc Bitcoin. N’importe qui peut utiliser ce reçu pour vérifier l’horodatage contre la blockchain Bitcoin en direct, sans faire confiance à Timestamp GIT, à un serveur ou à un tiers.

Timestamp GIT automatise tout cela. Une GitHub App détecte les nouveaux commits. Les hashes sont mis en file d’attente. Un worker nocturne crée l’arbre de Merkle, écrit la preuve OpenTimestamps, ancre la racine de Merkle dans Bitcoin, et pousse le manifeste et les reçus .ots vers une branche de timestamps dédiée ou un dépôt miroir.

Cela signifie que vous n’interagissez pas manuellement avec les outils OpenTimestamps, que vous ne créez pas de transactions Bitcoin à la main et que vous n’exécutez pas de commandes de vérification. La méthode difficile consisterait à gérer tout cela vous-même ; Timestamp GIT est la voie gérée.

Pour une comparaison plus approfondie, consultez Timestamp GIT vs. OpenTimestamps : lequel vous convient le mieux ?.

Pourquoi la preuve cryptographique de paternité est importante pour les développeurs et la conformité

Protection contre les chasseurs de brevets

Une entité non pratiquante peut déposer un brevet large sur une technologie que vous utilisez déjà. Si vous avez implémenté cette technologie des mois avant leur dépôt, vous avez besoin de preuves. Un horodatage Bitcoin immuable montrant que votre commit existait avant le dépôt du brevet constitue une antériorité solide. Il vous donne un levier pour invalider la revendication sans dépendre de registres internes flous.

Résolution des litiges de paternité

Lorsqu’un développeur principal quitte l’entreprise ou qu’un contractant revendique la propriété, la question devient souvent : quand cette fonctionnalité a-t-elle réellement été créée ? L’historique Git peut être réécrit. Les journaux serveur peuvent être remis en question. Un horodatage cryptographique réduit le litige à une vérification mathématique.

Renforcement de la conformité et des pistes d’audit

Pour les environnements réglementés, les obligations contractuelles ou les litiges de livraison client, une piste d’audit vérifiable est précieuse. Timestamp GIT fournit des tableaux de bord publics, des exports CSV d’audit et des certificats PDF. Ces artefacts soutiennent les revues de conformité et les procédures judiciaires sans exiger que l’auditeur fasse confiance à votre infrastructure interne.

Idées reçues courantes

« Il s’agit de cacher du code. » Non. L’objectif est de prouver l’existence sans révéler le code source. Le hash est une empreinte, pas un chiffrement du code.
« Cela remplace le droit d’auteur. » Non. Le droit d’auteur est un droit légal. La preuve cryptographique complète le droit d’auteur en fournissant une preuve solide du moment où l’œuvre a existé. Vous conservez les droits normaux sur votre code.
« Seules les grandes entreprises en ont besoin. » Les freelances, les agences et les startups ont souvent le plus à perdre. Un développeur solo sans budget juridique peut quand même produire un horodatage adossé à Bitcoin qu’un chasseur de brevets ne peut pas ignorer.
« L’historique Git suffit. » Les commits Git peuvent être recréés, réécrits ou datés arbitrairement sur une machine locale. Les journaux internes sont souvent écartés comme étant intéressés dans les litiges à fort enjeu.

Pour une perspective orientée startup sur l’analyse de rentabilité, consultez Comment les startups peuvent protéger leur propriété intellectuelle logicielle sans brevets.

Comment Timestamp GIT rend la preuve cryptographique de paternité sans effort

Timestamp GIT est un SaaS géré et une GitHub App. Vous installez la GitHub App une fois, vous connectez un dépôt, et chaque commit sur les dépôts surveillés est ancré dans Bitcoin automatiquement chaque nuit.

Le flux de travail est le suivant :

Installez la GitHub App.
Sélectionnez les dépôts que vous souhaitez surveiller.
Continuez à commiter du code normalement.
Recevez les preuves .ots dans une branche de timestamps dédiée ou un dépôt miroir.

Pas d’outils CLI, pas de commandes OpenTimestamps, pas de transactions Bitcoin manuelles. La vérification est tout aussi simple.

Vous pouvez ajouter des badges intégrables à votre README :

[![Timestamp GIT](https://timestampgit.dev/api/badgeLink/acme/widget-service.svg)](https://timestampgit.dev/status/acme/widget-service)

Vous pouvez vérifier le dernier bloc Bitcoin ancré en utilisant l’API publique :

curl -s https://timestampgit.dev/api/statusLast/acme/widget-service

Pour les dépôts privés, l’URL inclut un HMAC chiffré afin que seuls les utilisateurs autorisés puissent accéder au statut.

Timestamp GIT propose également plusieurs modes de déploiement :

Mode GitHub App standard : la GitHub App lit uniquement le hash du commit HEAD des dépôts surveillés et écrit les preuves dans une branche dédiée.
Mode Enterprise ZK : une GitHub Action s’exécute sur votre infrastructure et pousse uniquement le hash du commit vers l’API Timestamp GIT. Votre code source ne quitte jamais votre environnement.
Auto-hébergement Docker : pour les environnements isolés, vous pouvez exécuter l’application complète comme une image Docker.

Par exemple, une configuration Docker Compose minimale ressemble à ceci :

services:
  timestampgit:
    image: rue1401/timestampgit:prod
    ports:
      - "8080:8080"
    volumes:
      - ./data:/app/data
    restart: unless-stopped
  valkey:
    image: valkey/valkey:8
    restart: unless-stopped

Puis démarrez les services :

docker compose pull
docker compose up -d
docker compose logs -f timestampgit

L’application est disponible sur http://localhost:8080 après le démarrage.

Pour un guide pratique, consultez Installer une GitHub App pour horodater vos commits automatiquement.

FAQ

Quelle est la différence entre la preuve cryptographique de paternité et le droit d’auteur ?

Le droit d’auteur est un droit légal accordé automatiquement dès la création, mais prouver la date exacte de création peut être difficile. La preuve cryptographique de paternité fournit un horodatage infalsifiable et mathématiquement vérifiable qui démontre que le code existait à un moment précis, ce qui peut être utilisé comme preuve dans les litiges juridiques.

Puis-je prouver la paternité sans révéler mon code source ?

Oui. Timestamp GIT utilise une approche à divulgation nulle de connaissance : il traite uniquement le hash du commit Git, qui est une empreinte cryptographique. Le code source lui-même n’est jamais lu ni stocké. Le hash est ancré dans la blockchain Bitcoin, vous pouvez donc prouver l’existence sans divulguer le code propriétaire.

Combien de temps faut-il pour obtenir une preuve d’horodatage ?

Timestamp GIT regroupe les commits quotidiennement et les ancre dans la blockchain Bitcoin. La confirmation prend généralement quelques heures après le traitement du lot quotidien — normalement environ 3 heures. Une fois confirmée, la preuve est immuable et peut être vérifiée à tout moment.

La preuve est-elle valable devant un tribunal ?

Les horodatages cryptographiques basés sur la blockchain Bitcoin sont de plus en plus reconnus comme des preuves fiables car ils reposent sur la certitude mathématique plutôt que sur la confiance en un tiers. Timestamp GIT fournit des preuves prêtes pour le tribunal avec des normes cryptographiques mondialement reconnues, et vous pouvez générer des certificats PDF et des rapports d’audit pour les procédures judiciaires.

Conclusion

La preuve cryptographique de paternité pour le code résout un problème pratique : prouver quand un commit a existé sans révéler ce qu’il contient. En ancrant les hashes de commits Git dans la blockchain Bitcoin, vous créez un enregistrement immuable qui résiste à l’examen juridique, aux contestations de brevets et aux litiges internes.

Le meilleur dans tout cela, c’est que vous n’avez pas besoin de devenir un expert en cryptographie. Timestamp GIT automatise tout le pipeline derrière une GitHub App. Installez-la une fois, connectez votre dépôt, et chaque commit contribue automatiquement à une piste d’antériorité croissante et vérifiable. Les dépôts publics peuvent commencer gratuitement, ce qui en fait un moyen à faible risque d’ajouter une couche de protection à votre flux de travail de développement.

Articles connexes

Qu'est-ce que la preuve cryptographique de paternité pour le code ?