Protocole.

Un canister sur l'Internet Computer tient les règles, les prix, le journal et les points. Tout le reste, le site, le relais, Stripe, X, en est un client. N'importe qui peut lire le journal ; seul le relais écrit, et seulement après que Stripe a confirmé l'argent.

Où vivent les règles.

Un seul canister sur l'Internet Computer détient le Tableau, le Trône, le Mur, les prix, le journal, les points et les paramètres. Il n'a aucune porte d'administration pour modifier ce qu'il détient : l'opérateur peut régler des paramètres, chaque changement étant une ligne journalisée, peut mettre le marché en pause pour arrêter un dommage, et ne peut rien faire d'autre à une place, un prix ou une ligne. Tout le monde peut tout lire sans compte.

Comment un achat devient une ligne.

Le relais est le seul programme autorisé à écrire dans le canister, sous une seule identité cryptographique, et il n'écrit qu'après que Stripe a confirmé l'argent. Chaque action payante suit un seul ordre : le canister fixe le prix, Stripe autorise la carte, le canister enregistre, Stripe capture. Si le canister refuse, l'autorisation est annulée et rien n'est débité. Le relais n'a aucune règle à lui : tout ce qu'il demande, le canister peut le refuser.

Où tourne le relais.

Un service Node sur Fly.io, en deux instances, avec une base Postgres managée chez Neon à Francfort. La base contient les sessions, les références Stripe, les revues de liens, les signalements et les décomptes de clics, ce dont une voie de paiement a besoin et qu'un registre public ne doit pas porter. Elle est sauvegardée chaque nuit, et chaque sauvegarde est relue et comparée au canister, parce qu'une sauvegarde que personne ne restaure est un espoir.

Comment l'argent circule.

Stripe prend la carte, exécute une vérification 3-D Secure sur chaque première carte et au-dessus de seuils publiés, et paie les vendeurs sur leur propre compte connecté sept jours après la vente. La répartition d'une vente est un paramètre du canister et Stripe l'exécute, si bien que la maison ne détient jamais l'argent d'un vendeur. Un remboursement, un litige, un transfert annulé ou un virement échoué revient au relais sous forme de webhook signé et parvient aussitôt à l'opérateur, par e-mail et dans le journal technique ; la vente elle-même n'est annulée que par une personne, selon la procédure publiée, qui rend exactement ce qu'elle a pris.

Comment une action payante est filtrée.

Cloudflare Turnstile délivre un jeton à usage unique avant un achat, une prise, une publication, un changement de prix et un départ. Il fonctionne dans son mode sans cookie et ne stocke rien sur l'appareil. Il existe parce que le décompte des clics est le signal de prix du marché, et qu'un compteur que n'importe qui pourrait gonfler ne fixerait aucun prix.

Où sont servies les pages.

Cloudflare Pages sert quatorze répertoires statiques, un par langue, sous une politique de sécurité de contenu qui n'autorise ni script en ligne ni style en ligne. Le site ne détient aucun secret et aucun chemin d'argent : il lit un instantané, l'affiche, et envoie chaque écriture au relais. Scripts désactivés, le Tableau, les règles, le journal et le Hall of Fame restent lisibles.

Comment un lien est vérifié.

Chaque lien est récupéré pour son titre, sa description et son icône, depuis des adresses publiques seulement, avec des redirections et des tailles bornées ; il est refusé si son domaine est sur liste noire ou est un raccourcisseur, comparé à Google Safe Browsing, puis listé pour qu'une personne le lise. Un lien qui échoue est gelé : l'emplacement garde son rang et son affichage est masqué. Un second gel met une place en liquidation, termine une tenure du Trône sans remboursement, et retire une publication du Mur.

Qui vous êtes ici.

Un identifiant X public, obtenu par OAuth, et rien d'autre : pas de mot de passe, pas de profil, pas d'e-mail lu depuis X. Le site ne publie jamais pour personne ; une carte de partage ouvre le composeur de X avec le texte déjà écrit, et c'est la personne qui appuie sur envoyer. Les comptes qui paient avec la même carte sont traités comme un seul pour les limites de détention et d'échange.

Comment chaque événement sort d'ici.

Jusqu'à trois comptes sur X, tous à sens unique. @OpenFameTape publie chaque ligne du journal au moment où elle est écrite ; @OpenFameApp publie les moments marquants sous un plafond quotidien ; un robot de mentions, quand il est activé, répond à une question sur un lien avec les chiffres que le Tableau montre déjà. Aucun d'eux ne peut écrire dans le canister.

Comment vous avez de nos nouvelles.

Uniquement des e-mails transactionnels, via Resend : un reçu, l'avis qu'on vous a racheté ou qu'un prélèvement a été refusé, la décision sur quelque chose que vous avez signalé, la fin d'une saison que vous tenez. L'adresse est demandée au premier achat, utilisée pour rien d'autre, et supprimable depuis votre compte. L'expéditeur est l'unique adresse de la page de contact, pour qu'une réponse arrive à une personne.

Où va la part de la maison.

Trente pour cent de ce que la maison garde est converti en $ICP et mis en jeu dans un neurone du Network Nervous System verrouillé huit ans, jamais dissous. L'identifiant du neurone est sur la page Confiance et chacun peut l'inspecter sur le tableau de bord du Network Nervous System.

Où vit le token.

Sur Solana, frappé le 29 août 2026 : un milliard de $OPENFAME dans des comptes bloqués, les deux autorités détruites. La page du token porte l'adresse, l'état et ce à quoi sert le token.

Ce que porte le canister et que le produit n'a pas.

L'interface Candid nomme trois mécanismes qu'aucune page ne propose : des places qui s'ouvrent selon un calendrier jusqu'à mille, une place achetée au nom de quelqu'un d'autre, et un interrupteur qui ferme le Mur de lui-même. Ils sont construits, ils sont dormants, et aucun n'est accessible depuis ce site, qui vend cent places qui ne se multiplient pas, à la personne qui paie, et dont le Mur ne s'arrête que quand tout le marché s'arrête. Ils sont nommés ici parce que vous pouvez les lire dans l'interface, et qu'une page qui affirme que tout est vérifiable doit être celle qui vous le dit en premier.

Ce qui arrive si une pièce s'arrête.

Le canister est la seule pièce qui doit être en marche pour que le registre existe, et c'est la pièce que l'opérateur ne peut pas éteindre. Si le relais s'arrête, aucun argent ne bouge et rien n'est écrit, et tout ce qui est déjà écrit reste lisible. Si le site s'arrête, le canister répond encore directement à un programme. Si Stripe s'arrête, les devis sont refusés plutôt qu'à moitié pris. Si le canister venait à manquer des cycles qu'il brûle pour tourner, le relais surveille son solde et donne l'alerte des semaines à l'avance.

Lisez vous-même l'interface du canister (Candid) et le journal ; le site n'est qu'un client parmi ceux à venir.

L'interface est Candid, le tableau est en JSON à une adresse stable, le journal est en RSS, et chaque page figure dans un sitemap. Ce qu'une machine peut en faire est dans llms.txt et robots.txt ; où signaler une faille est dans security.txt ; et qui a écrit tout cela est dans humans.txt.