Kabel, włókno światłowodowe, pasmo radiowe, łączność satelitarna, urządzenia trasujące i centra danych, które mieszczą wszystko pozostałe. Nad warstwą fizyczną stoi logiczna: system nazw, który zamienia adres w miejsce docelowe, protokół trasowania, który wybiera drogę, oraz urzędy certyfikacji, na których opiera się każde bezpieczne połączenie. Przejęta trasa albo certyfikat wydany w sposób oszukańczy stawia stronę na drodze tak, że aplikacja powyżej nie ma sposobu, aby to rozpoznać. Symbol zamka nadal się pokazuje.

Oprogramowanie wbudowane, które rządzi zachowaniem sprzętu i leży pod systemem operacyjnym w urządzeniach sieciowych, serwerach, maszynach użytkowników i sprzęcie przemysłowym. Piszą je wytwórcy, rzadko przechodzi ono przegląd stosowany do kodu aplikacji, a aktualizuje się przez kanały, których większość organizacji nie obserwuje. Przetrwa też niemal wszystko, co robi się z warstwami nad nim.

Maszyna, na którą człowiek rzeczywiście patrzy, serwery za każdym dostawcą w łańcuchu, urządzenia pomiędzy nimi oraz rosnący zbiór systemów przemysłowych, budynkowych, medycznych i komunalnych, które pokazują dziś interfejsy operatorskie w przeglądarce. Te interfejsy składa się z tego samego łańcucha dostaw co każdą inną aplikację internetową, a decyzje podejmowane na podstawie tego, co pokazują, mają skutki fizyczne.

Handlowe interfejsy API i zestawy narzędzi programistycznych, które organizacje włączają, a nie budują same. Zestaw SDK nie jest biernym połączeniem danych; to kod wykonywalny działający z uprawnieniami aplikacji, która go zawiera. Organizacja zbadała wersję pierwszą przy integracji. Dostawca dostarcza wersję czternastą, o istotnie szerszych możliwościach, wszystkim, którzy kiedykolwiek włączyli jakąkolwiek wersję.

Kod własny i znacznie większy zbiór kodu stron trzecich wniesionego z zewnątrz. Część z niego kompiluje się do aplikacji i jest zamrożona na wybranej wersji. Znaczna część nie: trzymają ją inne strony i wczytuje się ją z ich systemów, gdy aplikacja działa, i właśnie dlatego wykaz składników, będąc zapisem tego, co złożono, jej nie opisuje.

Aplikacje wczytują nie tylko kod. Wczytują konfigurację, przełączniki funkcji, strumienie treści, teksty tłumaczeń, odpowiedzi interfejsów API i coraz częściej wyniki modeli hostowanych przez podmioty zewnętrzne. Każde z nich jest wejściem łańcucha dostaw, które aplikacja przetwarza i w większości przypadków wyświetla na ekranie. Jest to również najsłabiej udokumentowana warstwa w stosie: rzadko istnieje jakikolwiek zapis tego, do których punktów końcowych aplikacja sięga, a jeszcze rzadziej tego, kto je utrzymuje, a dostawcy modeli pojawili się jako klasa podprocesorów szybciej, niż przystosowała się do nich praktyka ujawniania.

Obrazy, czcionki, arkusze stylów, wideo, dźwięk i dokumenty. Nie są wykonywalne, ale też nie są bierne: arkusz stylów rozstrzyga, co jest widoczne, a co ukryte, czcionka rozstrzyga, które znaki się rysują, obraz wnosi informację prosto do ludzkiego osądu, a dokument podany przez aplikację czyta się jako oryginał, bo nic na stronie nie sugeruje inaczej.

Każda warstwa poniżej zbiega się właśnie tutaj, w jeden obraz, który człowiek czyta i na którego podstawie działa. Jest to jedyne miejsce, gdzie złożony łańcuch jest widoczny jako całość, i jest to miejsce, na które nie patrzy żadne powszechnie stosowane podejście. Każde z nich zbudowano, aby potwierdzić, że pojedyncze elementy działają zgodnie ze specyfikacją, a złożenie nie jest elementem.

To, co aplikacja rzeczywiście zrobiła: żądania, które wysłała, kod, który wykonała, ładunki, które przesłała, pamięć, do której zapisała. Dowód pierwotny dla warstw kodu, danych, zasobów i usług, i jedyne źródło, które odzwierciedla złożenie, a nie jego części.

Rejestracja domen, przydział adresów, ogłoszenia trasowania, przejrzystość certyfikatów i zapisy hostingu. Zamieniają zaobserwowanego hosta w nazwanego operatora, i właśnie tak warstwa sieciowa staje się czymś, o czym człowiek może rozumować.

Listy podprocesorów, umowy o przetwarzanie danych, raporty z audytu, wykazy składników i zapisy zakupowe. Nie stan faktyczny, ale twierdzenie poddane sprawdzeniu. Tam, gdzie ujawnienie jest obowiązkowe, sam brak wpisu podlega zgłoszeniu.

Rejestry, sprawozdania, zapisy o finansowaniu, dane o sankcjach i działaniach nadzorczych. Prowadzą one od operatora do firmy, jej właścicieli i jurysdykcji, której prawo rządzi tym, co firma robi z Państwa danymi. Mapowanie łańcucha własności prowadzi dalej od tego punktu.