Cable, fibra, espectro, satélite, equipos de enrutamiento y los centros de datos que albergan todo lo demás. Por encima de lo físico está lo lógico: el sistema de nombres que convierte una dirección en un destino, el protocolo de enrutamiento que decide la ruta y las autoridades de certificación en las que se apoya toda conexión segura. Una ruta secuestrada o un certificado emitido de forma fraudulenta coloca en el camino a una parte que la aplicación de arriba no tiene forma de detectar. El candado sigue apareciendo.

El software embebido que controla cómo se comporta el hardware, situado por debajo del sistema operativo en equipos de red, servidores, máquinas de usuario final y hardware industrial. Lo escriben los fabricantes, rara vez se somete a la revisión que se aplica al código de aplicación y se actualiza por canales que la mayoría de las organizaciones no vigilan. Además sobrevive a casi todo lo que se hace en las capas superiores.

La máquina que una persona está mirando realmente, los servidores que hay detrás de cada proveedor de la cadena, los equipos intermedios, y el conjunto creciente de sistemas industriales, de edificios, médicos y de suministros que hoy presentan interfaces de operador basadas en navegador. Esas interfaces se ensamblan con la misma cadena de suministro que cualquier otra aplicación web, y las decisiones que se toman a partir de lo que muestran tienen consecuencias físicas.

Las API comerciales y los kits de desarrollo que las organizaciones integran en lugar de construir. Un SDK no es una conexión de datos pasiva; es código ejecutable que corre con los permisos de la aplicación que lo aloja. La organización revisó la versión uno en la integración. El proveedor está distribuyendo la versión catorce, con capacidades sustancialmente más amplias, a todos los que integraron alguna versión.

El código propio y el cuerpo sustancialmente mayor de código de terceros traído de fuera. Parte de él se compila en la aplicación y queda fijado en la versión elegida. Mucho no: lo mantienen otras partes y se carga desde sus sistemas cuando la aplicación se ejecuta, y por eso una lista de materiales, que es un registro de lo que se ensambló, no lo describe.

Las aplicaciones no solo cargan código. Cargan configuración, indicadores de funcionalidad, fuentes de contenido, cadenas de localización, respuestas de API y, cada vez más, las salidas de modelos alojados por terceros. Cada una es un insumo de cadena de suministro que la aplicación procesa y, en la mayoría de los casos, pone en pantalla. Es también la capa menos documentada de la pila: rara vez hay registro de qué endpoints consulta una aplicación, y menos aún de quién los mantiene, y los proveedores de modelos han llegado como una clase de subencargado más rápido de lo que la práctica de divulgación se ha adaptado a ellos.

Imágenes, tipografías, hojas de estilo, vídeo, audio y documentos. No son ejecutables, y tampoco son pasivos: una hoja de estilo decide qué se ve y qué queda oculto, una tipografía decide qué caracteres se dibujan, una imagen lleva información directamente al juicio de una persona, y un documento servido a través de una aplicación se lee como el original porque nada en la página sugiere lo contrario.

Todas las capas inferiores convergen aquí, en la única imagen que una persona lee y sobre la que actúa. Es el único lugar donde la cadena ensamblada es visible en su conjunto, y es el lugar que ningún marco de uso común mira. Cada uno se construyó para confirmar que los componentes individuales funcionan según lo especificado, y un ensamblaje no es un componente.

Lo que la aplicación hizo realmente: las peticiones que realizó, el código que ejecutó, las cargas útiles que envió, el almacenamiento que escribió. Evidencia primaria de las capas de código, datos, recursos y servicios, y la única fuente que refleja el ensamblaje y no sus piezas.

Registro de dominios, asignación de direcciones, anuncios de enrutamiento, transparencia de certificados y registros de alojamiento. Estos convierten un host observado en un operador con nombre, y son la vía por la que la capa de red se vuelve algo sobre lo que una persona puede razonar.

Listas de subencargados, acuerdos de tratamiento de datos, informes de auditoría, listas de materiales y registros de compras. No son la verdad de partida, sino la afirmación que se pone a prueba. Cuando la divulgación es obligatoria, una omisión es en sí misma reportable.

Registros mercantiles, documentación registral, registros de financiación, datos de sanciones y de actuaciones sancionadoras. Estos llevan de un operador hasta una empresa, sus propietarios y la jurisdicción cuya ley rige lo que hace con sus datos. El Mapeo de la Cadena de Propiedad lo toma desde ahí.