Kabel, fiber, spektrum, satellit, routerutrustning och datahallarna som rymmer allt annat. Ovanför det fysiska ligger det logiska: namnsystemet som gör en adress till ett mål, routingprotokollet som väljer väg, och certifikatutfärdarna som varje säker förbindelse vilar på. En kapad väg eller ett bedrägligt utfärdat certifikat placerar en part i vägen som applikationen ovanför inte har något sätt att upptäcka. Hänglåset visas fortfarande.

Den inbyggda programvara som styr hur hårdvara beter sig, och som ligger under operativsystemet i nätverksutrustning, servrar, slutanvändarmaskiner och industriell hårdvara. Den skrivs av tillverkarna, utsätts sällan för den granskning som tillämpas på applikationskod, och uppdateras genom kanaler de flesta organisationer inte bevakar. Den överlever också nästan allt som görs med lagren ovanför.

Den maskin en människa faktiskt sitter framför, servrarna bakom varje leverantör i kedjan, apparaterna däremellan, och den växande uppsättningen av industri-, fastighets-, vård- och försörjningssystem som numera har webbläsarbaserade operatörsgränssnitt. Dessa gränssnitt sätts ihop av samma leverantörskedja som varje annan webbapplikation, och besluten som fattas utifrån det de visar får fysiska följder.

De kommersiella API:er och utvecklingspaket organisationer integrerar i stället för att bygga. Ett utvecklingspaket är ingen passiv datakoppling; det är körbar kod som löper med rättigheterna hos den applikation som rymmer den. Organisationen granskade version ett vid integrationen. Leverantören skickar ut version fjorton, med väsentligt bredare förmågor, till alla som någonsin integrerat någon version.

Egen kod, och den betydligt större mängd tredjepartskod som hämtas in utifrån. En del av den kompileras in i applikationen och låses till den version som valts. Mycket av den gör det inte: den hålls av andra parter och laddas från deras system när applikationen körs, och det är därför en komponentförteckning, som är en registrering av vad som sattes ihop, inte beskriver den.

Applikationer laddar inte bara kod. De laddar konfiguration, funktionsflaggor, innehållsflöden, översättningstexter, API-svar och i allt högre grad resultat från modeller som drivs av tredje part. Var och en av dem är en insatsvara i leverantörskedjan som applikationen behandlar och i de flesta fall sätter på skärmen. Det är också det minst dokumenterade lagret i stacken: det finns sällan någon registrering av vilka ändpunkter en applikation frågar, än mindre av vem som håller dem, och modelleverantörer har kommit som en klass av underbiträden snabbare än praxis för att redovisa underbiträden hunnit anpassa sig till dem.

Bilder, teckensnitt, stilmallar, video, ljud och dokument. Inte körbara, och inte passiva heller: en stilmall avgör vad som syns och vad som skyms, ett teckensnitt avgör vilka tecken som ritas, en bild bär uppgifter rakt in i en människas omdöme, och ett dokument som levereras genom en applikation läses som originalet för att ingenting på sidan antyder annat.

Varje lager under möts här, i den enda bild en människa läser och handlar utifrån. Det är den enda plats där den sammansatta kedjan syns som helhet, och det är den plats inget ramverk i allmänt bruk tittar på. Vart och ett av dem byggdes för att bekräfta att enskilda komponenter fungerar som specificerat, och en sammansättning är ingen komponent.

Vad applikationen faktiskt gjorde: förfrågningarna den skickade, koden den körde, nyttolasten den sände, lagringen den skrev till. Primärt underlag för lagren för kod, data, resurser och tjänster, och den enda källa som speglar sammansättningen och inte delarna.

Domänregistrering, adresstilldelning, routingannonseringar, certifikatöppenhet och hostinguppgifter. Dessa gör en observerad värd till en namngiven operatör, och det är så nätverkslagret blir något en människa kan resonera om.

Listor över underbiträden, personuppgiftsbiträdesavtal, revisionsrapporter, komponentförteckningar och inköpshandlingar. Inte den faktiska bilden, utan påståendet som prövas. Där redovisning är obligatorisk är en utelämning i sig anmälningsbar.

Register, inlämnade handlingar, finansieringsuppgifter, sanktions- och tillsynsdata. Dessa för en operatör vidare till ett företag, dess ägare och den jurisdiktion vars lag styr vad det gör med dina data. Därifrån tar kartläggning av ägarkedjan vid.