La partie d’une plateforme de paiement que personne ne vend et dont tout le monde dépend

Personne ne choisit une plateforme de paiement pour son grand livre. Tout le monde en dépend.

C’est la partie qui décide si l’on peut faire confiance à toutes les autres fonctionnalités, et c’est presque jamais la partie dont on parle.

L’erreur du solde stocké

Énormément de systèmes gardent un solde dans une colonne. Un paiement arrive, la colonne monte. Un versement part, la colonne descend.

Cela marche jusqu’à ce que quelque chose l’interrompe à mi-chemin, que deux choses la mettent à jour en même temps, ou que quelqu’un avec un accès à la base de données décide d’aider. Et dès qu’un solde peut être fixé au lieu d’être mouvementé, les livres ont cessé d’être une preuve. Ils sont devenus une opinion, celle de la dernière personne à avoir eu un droit d’écriture.

Déduit, pas stocké

Ici, un solde est la somme des lignes de son propre portefeuille. Il est calculé, pas conservé.

Cette seule décision supprime une catégorie entière de problèmes. Il n’y a aucun nombre qui puisse dériver, aucun nombre à corriger, et aucun moyen d’attribuer une valeur à un solde. On ne peut que l’écrire — et une écriture doit s’équilibrer.

Équilibré à l’écriture

Chaque transaction est composée de lignes qui totalisent zéro par devise. Une transaction qui ne s’équilibrerait pas est refusée, pas enregistrée puis nettoyée plus tard.

Les livres ne peuvent pas se déséquilibrer, non parce qu’une tâche les vérifie chaque nuit, mais parce qu’un état déséquilibré n’est pas une chose qui puisse s’écrire.

Les corrections sont des écritures

Quand quelque chose est réellement faux, la correction est une nouvelle transaction en sens inverse. L’originale reste exactement où elle était.

Quiconque lira l’historique plus tard voit les deux : ce qui s’est passé, et ce qui a été fait. Un grand livre dont on peut faire disparaître les erreurs est un grand livre auquel personne ne devrait faire confiance — y compris ceux qui le tiennent, car ils perdent la capacité de prouver leur propre bonne foi.

Il se vérifie lui-même

Le rapprochement recalcule chaque solde à partir de ses lignes et signale les écarts. Il ne fait pas confiance au chiffre stocké, parce qu’il n’y a aucun chiffre stocké à qui faire confiance.

Au-dessus se trouvent les invariants — des affirmations sur des choses qui ne devraient jamais être vraies, comme un paiement capturé sans écriture. Si l’une devient vraie, la plateforme peut s’arrêter plutôt que continuer à traiter par-dessus une contradiction.

S’arrêter coûte cher. Continuer à traiter sur des livres faux est le genre de coût qui tue des entreprises.

Et il est chaîné par empreinte

Chaque changement d’état entre dans un journal d’événements où chaque entrée est chaînée à la précédente. On peut démontrer que l’enregistrement n’a pas été réécrit après coup — ce qui est la vraie question d’un auditeur quand il demande la piste d’audit.

Ce que cela coûte

Rien. C’est le sol, pas une fonctionnalité.

Ce que vous pouvez vérifier

Ce sont des faits sur la plateforme en fonctionnement, pas des adjectifs. Chacun est visible dans le produit, dans la référence de l’API ou dans le grand livre.

• Les écritures sont équilibrées par devise au moment de l’écriture ; une transaction déséquilibrée est refusée plutôt qu’enregistrée puis corrigée.
• Le rapprochement recalcule chaque solde de portefeuille à partir de ses lignes et signale tout écart, au lieu de faire confiance au chiffre stocké.
• Les annulations sont des écritures en sens inverse ; rien n’est supprimé, l’histoire de ce qui s’est passé reste lisible.
• Les invariants Guardian surveillent des états qui devraient être impossibles — comme un paiement capturé sans écriture — et peuvent arrêter la plateforme plutôt que de continuer par-dessus.
• Chaque changement d’état est écrit dans un journal d’événements chaîné par empreinte : on peut démontrer que l’enregistrement n’a pas été réécrit après coup.

Ce que cela coûte

Inclus. Ce n’est pas tant une fonctionnalité que le sol sur lequel tout le reste se tient.

Est-ce activé ?

La disponibilité dépend des autorisations en place et de ce que l’administrateur d’un déploiement donné a activé. Cela change, un article non — la réponse vivante est donc sur la page de la fonctionnalité, qui la lit dans la plateforme elle-même : Le grand livre sur la page des fonctionnalités.

À lire ensuite

• Portefeuilles et virements — De l’argent qui arrive à l’instant où il part.
• Règlements et relevés — Savoir ce qui a été prélevé, pas seulement ce qui est arrivé.
• Monnaie électronique et cantonnement — Chaque solde est adossé, par construction.