La salle des machines visible derrière le signal.

La performance publique est traitée comme un signal de qualité récurrent : pages légères, diffusion statique, ressources compressées et contrôles périodiques dans le navigateur.

Les contrôles de type Lighthouse et PageSpeed servent de preuve indicative lors des grandes vagues de mise en œuvre ; les problèmes sont documentés plutôt que cachés.

Le site public est livré sous forme de fichiers statiques et déployé via Cloudflare Pages et son CDN pour une diffusion mondiale.

Des en-têtes prudents sont présents dans _headers, dont nosniff, la politique de referrer, la politique de permissions, HSTS et une CSP en mode report-only.

Les pages publiques figurent dans sitemap.xml, les ressources privées des clients en sont exclues et robots renvoie au sitemap canonique.

Les pages principales utilisent un JSON-LD prudent, comme WebPage, Organization, Service et BreadcrumbList lorsque c’est pertinent. Aucun schéma d’avis ou de note n’est inventé.

L’Execution Signal Assessment™ s’exécute dans le navigateur ; il n’envoie pas les réponses, ne les stocke pas et ne crée aucun enregistrement côté serveur.

Les certifications formelles (test d’intrusion, SOC 2, ISO, déclaration d’accessibilité certifiée, certification de conformité juridique) se situent hors du périmètre de ce dossier ; lorsqu’un mandat en exige une, elle est cadrée ouvertement dès le départ.

Matomo n’est pas actif : aucun script Matomo n’est chargé et aucun événement Matomo n’est mis en file. Le HTML public actuel ne contient ni URL Matomo ni identifiant de site.

Les films complets de la page d’accueil sont servis depuis media.kulicadvisory.com sur Cloudflare R2. Le point d’accès public prend en charge les requêtes par plages d’octets pour l’avance native.

La lecture de signal par IA, optionnelle, du Signal Guide envoie ses requêtes à un point d’accès /api/signal-guide de même origine, géré par un Cloudflare Pages Worker. Les requêtes sont du JSON en POST uniquement, limitées à 1 200 caractères et à six tours de contexte ; les réponses sont en no-store. La clé d’API Anthropic reste côté serveur, les prompts ne sont pas journalisés en clair, aucune transcription n’est stockée par le site, et une solution de repli déterministe hors ligne répond lorsque le fournisseur est indisponible ou que la fonction est désactivée.

Les outils de l’AICTIONBOT™ Workbench utilisent le même point d’accès dans un mode qui leur est propre, pour le texte des documents et les images ; là non plus, rien n’est conservé. S’y ajoute le point d’accès MCP /mcp (Streamable HTTP sans session, POST JSON-RPC) pour Claude, ChatGPT et d’autres programmes : 23 outils sans IA fonctionnent sans connexion, avec une limitation de débit ; les outils sous licence après connexion via OAuth 2.1 avec PKCE. La clé de licence se trouve chiffrée dans le jeton et non sur le serveur.

L’Executive Intake envoie ses données au point d’accès /api/executive-intake de même origine, géré par le Pages Worker. La requête est validée avant que les champs acceptés soient d’abord stockés dans Cloudflare D1 ; le navigateur reçoit une courte référence KA. Le Worker utilise une liste de champs autorisés, un honeypot, une limitation de débit isolée, un identifiant d’envoi idempotent et le rejet des pièces jointes. L’e-mail est une notification secondaire envoyée par un Worker de messagerie privé et ne peut pas décider si l’enregistrement D1 existe. Préproduction et production utilisent des bases distinctes ; les enregistrements expirent après 30 jours calendaires et un nettoyage planifié supprime les lignes expirées. Les champs de l’Intake ne sont ni envoyés à Matomo ni écrits dans Analytics Engine, et l’enregistrement ne stocke ni adresse IP, ni agent utilisateur, ni cookies, ni identifiants de mesure d’audience.