コンテンツ配信ネットワーク、リバースプロキシ、複数テナントのホスティングがあるため、観測されたアドレスがまったく別の相手に属するオリジンを前面で受けていることがあり、どれだけ手法を尽くしてもすべての場合にそれを解明できるわけではありません。そのため、それぞれの帰属は、それを支える証拠と、その証拠を反映した確度とともに記録し、明示的な未確定の状態を設けています。その前にあるインフラのところまでしか解明できなかったプロバイダーは、まさにそのとおりに報告し、名前を挙げ、直接問う価値のある問いとして開いたままにします。配信ネットワークを静かに供給者へ格上げしたり、共用アドレスを企業へ格上げしたりする評価は、チェーンがどこで途切れたかを述べる評価よりも、はるかに劣っています。

一つの分野では、その義務はすでに具体的です。2025年3月以降、PCI DSSの要件6.4.3と11.6.1は、決済ページを運用する者に対し、そこで実行されるあらゆるスクリプトの目録を保持し、それぞれについて書面による正当化の根拠を記録し、承認し、そして承認されていない変更を検出することを求めています。これは、実際に何が読み込まれるのかを把握せよという、執行を伴う要求です。それはスクリプトのところで止まり、そのスクリプトが話しかける先を誰が運用しているのかについては何も述べません。そこがこの手法が続きを引き受ける地点です。より広い義務もそれと並んで到来しています。大統領令14117号は28 CFR第202部として実施され、大量の機微データへの間接的な外国からのアクセスの背後にいる当事者を特定することを求めています。GDPR第28条は、再委託先を起用することを、実装上の細部ではなく文書化され承認された行為としています。DORAはその期待を金融機関と、そのICTプロバイダーの下にある下請けの連鎖にまで広げ、最初の重要なICTサードパーティープロバイダーが2025年後半に正式に指定されて、集中度そのものが監督下に置かれました。そしてNIS2は、自らを技術企業と考えたことのない組織にとってもサプライチェーンの安全性を対象範囲に入れました。これらのどれもが、組織が自らのアプリケーションが何に依存しているかを述べられることを前提にしています。義務づけられた開示に現れるべき再委託先が現れていないこと自体が、検出結果になります。