Kabel, fiber, frekvenser, satellitt, ruteutstyr og datasentrene som rommer alt det andre. Over det fysiske ligger det logiske: navnesystemet som gjør en adresse om til et mål, ruteprotokollen som bestemmer veien, og sertifikatutstederne som hver sikret forbindelse hviler på. En kapret rute eller et svindelutstedt sertifikat plasserer en part i veien som applikasjonen over ikke har noen måte å oppdage. Låsikonet vises fortsatt.

Den innebygde programvaren som styrer hvordan maskinvare oppfører seg, og som ligger under operativsystemet i nettverksutstyr, servere, sluttbrukermaskiner og industrimaskiner. Den skrives av produsentene, blir sjelden underlagt den gjennomgangen som anvendes på applikasjonskode, og oppdateres gjennom kanaler de fleste organisasjoner ikke følger med på. Den overlever også nesten alt som gjøres med lagene over den.

Den maskinen et menneske faktisk sitter foran, serverne bak hver leverandør i kjeden, apparatene imellom, og det voksende settet av industri-, bygnings-, medisin- og infrastruktursystemer som nå har nettleserbaserte operatørgrensesnitt. Disse grensesnittene settes sammen fra den samme leverandørkjeden som enhver annen nettapplikasjon, og beslutningene som tas ut fra det de viser har fysiske følger.

De kommersielle API-ene og utviklingspakkene organisasjoner integrerer i stedet for å bygge. En utviklingspakke er ikke en passiv datakobling; det er kjørbar kode som løper med rettighetene til applikasjonen som huser den. Organisasjonen gjennomgikk versjon én ved integrasjon. Leverandøren sender ut versjon fjorten, med vesentlig bredere evner, til alle som noen gang integrerte en versjon.

Egen kode, og den betydelig større mengden tredjepartskode som hentes inn utenfra. Noe av den kompileres inn i applikasjonen og låses til den versjonen som ble valgt. Mye av den gjør det ikke: den holdes av andre parter og lastes fra systemene deres når applikasjonen kjører, og det er derfor en programvareliste, som er en registrering av hva som ble satt sammen, ikke beskriver den.

Applikasjoner laster ikke bare kode. De laster konfigurasjon, funksjonsflagg, innholdsstrømmer, oversettelsestekster, API-responser og i økende grad resultatene fra modeller som driftes av tredjeparter. Hver av dem er en innsatsfaktor i leverandørkjeden som applikasjonen behandler og i de fleste tilfeller setter på skjermen. Det er også det minst dokumenterte laget i stakken: det finnes sjelden noen registrering av hvilke endepunkter en applikasjon spør, langt mindre av hvem som holder dem, og modelleverandører har kommet som en klasse av underdatabehandlere raskere enn opplysningspraksisen har justert seg etter dem.

Bilder, fonter, stilark, video, lyd og dokumenter. Ikke kjørbare, og ikke passive heller: et stilark bestemmer hva som er synlig og hva som skjules, en font bestemmer hvilke tegn som tegnes, et bilde bærer opplysninger rett inn i et menneskes vurdering, og et dokument levert gjennom en applikasjon leses som originalen fordi ingenting på siden antyder noe annet.

Hvert lag under møtes her, i det ene bildet et menneske leser og handler ut fra. Det er det eneste stedet den sammenstilte kjeden er synlig som helhet, og det er stedet ingen rammeverk i alminnelig bruk ser på. Hvert av dem ble bygget for å bekrefte at enkeltkomponenter virker som spesifisert, og en sammenstilling er ikke en komponent.

Hva applikasjonen faktisk gjorde: forespørslene den sendte, koden den kjørte, nyttelastene den sendte, lagringen den skrev til. Primærbevis for lagene for kode, data, ressurser og tjenester, og den eneste kilden som gjenspeiler sammenstillingen og ikke delene.

Domeneregistrering, adressetildeling, rutekunngjøringer, sertifikatåpenhet og hostingopplysninger. Disse gjør en observert vert om til en navngitt operatør, og det er slik nettverkslaget blir noe et menneske kan resonnere om.

Lister over underdatabehandlere, databehandleravtaler, revisjonsrapporter, programvarelister og anskaffelsesdokumenter. Ikke det faktiske bildet, men påstanden som prøves. Der opplysning er pålagt, er en utelatelse i seg selv rapporterbar.

Registre, registermeldinger, finansieringsopplysninger, sanksjons- og tilsynsdata. Disse fører en operatør videre til et selskap, eierne dets og den jurisdiksjonen hvis lov styrer hva det gjør med dataene dine. Derfra tar kartlegging av eierskapskjeden over.