Kabel, glasvezel, spectrum, satelliet, routeringsapparatuur en de datacentra die al het andere herbergen. Boven het fysieke ligt het logische: het naamstelsel dat een adres omzet in een bestemming, het routeringsprotocol dat het pad bepaalt, en de certificaatautoriteiten waarop elke beveiligde verbinding rust. Een gekaapte route of een frauduleus uitgegeven certificaat plaatst een partij in het pad zonder dat de applicatie erboven dat kan onderkennen. Het slotje verschijnt nog steeds.

De ingebedde software die bepaalt hoe hardware zich gedraagt, onder het besturingssysteem in netwerkapparatuur, servers, machines van eindgebruikers en industriële hardware. Ze wordt geschreven door fabrikanten, ondergaat zelden de toetsing die op applicatiecode wordt toegepast, en wordt bijgewerkt via kanalen waar de meeste organisaties niet naar kijken. Ze overleeft ook vrijwel alles wat er met de lagen erboven gebeurt.

De machine waar iemand werkelijk naar kijkt, de servers achter elke aanbieder in de keten, de apparaten daartussen, en het groeiende aantal industriële, gebouwgebonden, medische en nutssystemen die nu bedieningsinterfaces in de browser tonen. Die interfaces worden uit dezelfde toeleveringsketen samengesteld als elke andere webapplicatie, en de besluiten die op basis van wat zij tonen worden genomen hebben fysieke gevolgen.

De commerciële API's en ontwikkelkits die organisaties integreren in plaats van zelf bouwen. Een SDK is geen passieve gegevensverbinding; het is uitvoerbare code die loopt met de rechten van de applicatie die haar herbergt. De organisatie heeft versie één bij de integratie getoetst. De aanbieder levert versie veertien, met wezenlijk ruimere mogelijkheden, aan iedereen die ooit een versie heeft geïntegreerd.

Eigen code, en de aanzienlijk grotere hoeveelheid code van derden die van buiten wordt binnengehaald. Een deel daarvan wordt in de applicatie meegecompileerd en staat vast op de gekozen versie. Een groot deel niet: dat wordt door andere partijen bewaard en uit hun systemen geladen wanneer de applicatie loopt, en daarom beschrijft een componentenlijst het niet, want die is een vastlegging van wat er is samengesteld.

Applicaties laden niet alleen code. Ze laden configuratie, functievlaggen, contentfeeds, vertaalteksten, API-antwoorden en steeds vaker de uitvoer van modellen die door derden worden gehost. Elk daarvan is invoer in een toeleveringsketen die de applicatie verwerkt en in de meeste gevallen op het scherm zet. Het is ook de minst vastgelegde laag in de stapel: er is zelden enige vastlegging van welke eindpunten een applicatie aanspreekt, nog minder van wie die beheert, en modelaanbieders zijn als een klasse subverwerkers verschenen sneller dan de meldingspraktijk zich aan hen heeft aangepast.

Afbeeldingen, lettertypen, stijlbladen, video, audio en documenten. Niet uitvoerbaar, en ook niet passief: een stijlblad bepaalt wat zichtbaar is en wat wordt verhuld, een lettertype bepaalt welke tekens worden getekend, een afbeelding brengt informatie rechtstreeks in iemands oordeel, en een document dat via een applicatie wordt geleverd wordt als het origineel gelezen omdat niets op de pagina anders suggereert.

Elke laag hieronder komt hier samen, in het ene beeld dat iemand leest en waarnaar iemand handelt. Het is de enige plek waar de samengestelde keten als geheel zichtbaar is, en het is de plek waar geen enkel gangbaar kader naar kijkt. Elk van die kaders is gebouwd om te bevestigen dat afzonderlijke onderdelen werken zoals voorgeschreven, en een samenstelling is geen onderdeel.

Wat de applicatie werkelijk heeft gedaan: de verzoeken die zij deed, de code die zij uitvoerde, de payloads die zij verzond, de opslag die zij beschreef. Primair bewijs voor de lagen van code, gegevens, resources en diensten, en de enige bron die de samenstelling weergeeft in plaats van de onderdelen.

Domeinregistratie, adrestoewijzing, routeringsaankondigingen, certificaattransparantie en hostinggegevens. Deze maken van een waargenomen host een benoemde beheerder, en zo wordt de netwerklaag iets waarover iemand kan nadenken.

Subverwerkerslijsten, verwerkersovereenkomsten, auditrapporten, componentenlijsten en inkoopgegevens. Niet het feitelijke beeld, maar de bewering die wordt getoetst. Waar melden verplicht is, is een ontbrekende vermelding zelf meldingswaardig.

Registers, verslaglegging, gegevens over financiering, sancties en handhaving. Deze brengen een beheerder door tot een bedrijf, zijn eigenaren en de jurisdictie wier recht bepaalt wat dat bedrijf met uw gegevens doet. Kartering van de eigendomsketen gaat daar verder.