Кабель, оптичне волокно, радіочастотний спектр, супутниковий зв’язок, маршрутизаційне обладнання та центри обробки даних, які тримають усе інше. Над фізичним стоїть логічне: система імен, яка перетворює адресу на пункт призначення, протокол маршрутизації, який вирішує шлях, і центри сертифікації, на яких тримається кожне захищене з’єднання. Захоплений маршрут або сертифікат, виданий шахрайським шляхом, ставить сторону на шляху так, що застосунок вище не має жодного способу це виявити. Замок усе одно з’являється.

Вбудоване програмне забезпечення, яке керує поведінкою апаратних засобів і стоїть під операційною системою в мережевому обладнанні, серверах, машинах кінцевих користувачів і промислових апаратних засобах. Його пишуть виробники, воно рідко проходить розгляд, який застосовують до застосункового коду, і оновлюється через канали, за якими більшість організацій не спостерігає. Воно також переживає майже все, що роблять із рівнями над ним.

Машина, на яку людина справді дивиться, сервери за кожним провайдером у ланцюгу, пристрої між ними та зростаючий набір промислових, будівельних, медичних і комунальних систем, які тепер показують операторські інтерфейси на основі браузера. Ці інтерфейси збирають з того самого ланцюга постачання, що й будь-який інший вебзастосунок, а рішення, ухвалені за тим, що вони показують, мають фізичні наслідки.

Комерційні API та комплекти для розробки, які організації інтегрують, а не будують самі. SDK це не пасивне з’єднання для даних; це виконуваний код, що працює з дозволами застосунку, який його містить. Організація розглянула версію один під час інтеграції. Провайдер постачає версію чотирнадцять, із суттєво ширшими можливостями, усім, хто колись інтегрував хоч якусь версію.

Власний код і значно більший обсяг стороннього коду, принесеного зовні. Частина його скомпільована в застосунок і зафіксована на обраній версії. Значна частина ні: її тримають інші сторони й завантажують з їхніх систем, коли застосунок працює, і саме тому перелік компонентів, будучи записом про те, що було зібрано, її не описує.

Застосунки завантажують не лише код. Вони завантажують конфігурацію, прапорці функцій, потоки контенту, рядки локалізації, відповіді API і все частіше результати моделей, які розміщують сторонні компанії. Кожне з цього є входом ланцюга постачання, який застосунок обробляє і в більшості випадків виводить на екран. Це також найменш задокументований рівень у стеку: рідко існує хоч якийсь запис про те, до яких точок доступу звертається застосунок, і ще рідше про те, хто їх тримає, а провайдери моделей з’явилися як клас субпроцесорів швидше, ніж до них пристосувалася практика розкриття.

Зображення, шрифти, стилі, відео, аудіо та документи. Не виконувані, але й не пасивні: стиль вирішує, що видно, а що приховано, шрифт вирішує, які символи намальовано, зображення несе інформацію просто в судження людини, а документ, поданий через застосунок, читають як оригінал, бо ніщо на сторінці не свідчить про інше.

Кожен рівень нижче сходиться саме тут, в одну картинку, яку людина читає і за якою діє. Це єдине місце, де зібраний ланцюг видно як ціле, і це місце, на яке не дивиться жодна поширена система. Кожну з них будували, щоб підтвердити, що окремі компоненти працюють як зазначено, а збірка не є компонентом.

Те, що застосунок насправді зробив: запити, які він зробив, код, який він виконав, корисні навантаження, які він надіслав, сховище, у яке він записав. Первинні докази для рівнів коду, даних, ресурсів і послуг, і єдине джерело, яке відображає збірку, а не її частини.

Реєстрація доменів, розподіл адрес, оголошення маршрутів, прозорість сертифікатів і записи про хостинг. Вони перетворюють спостережений хост на названого оператора, і саме так рівень мережі стає тим, про що людина може міркувати.

Списки субпроцесорів, договори про обробку даних, звіти аудиту, переліки компонентів і закупівельні записи. Не фактична картина, а заява, яку перевіряють. Там, де розкриття обов’язкове, пропуск сам є підставою для повідомлення.

Реєстри, звітність, записи про фінансування, дані про санкції та правозастосування. Вони ведуть від оператора до компанії, її власників і юрисдикції, чиє право керує тим, що вона робить із вашими даними. Картування ланцюга власності веде далі звідси.