Passer au contenu principal
Quand un auditeur demande des preuves, il ne veut pas une connexion à un tableau de bord — il veut un fichier. OrcaRouter permet à un Admin de l’espace de travail de générer un rapport de conformité en CSV, JSON ou PDF, où le CSV est un flux de lignes plat, tagué par section, que n’importe quel auditeur peut ouvrir dans un tableur, trier et parcourir au grep. Un seul fichier porte la couverture, les comptes d’application, le consentement, l’historique des changements et l’accès admin pour un seul framework sur une période choisie. Cette page couvre spécifiquement l’export de preuves CSV : qui peut le générer, ce que signifient les colonnes, et comment il se rattache au rapport signé et vérifiable. Pour le flux plus large catalogue-vers-production, commencez par la vue d’ensemble de la conformité.

​
1. Pourquoi exporter les preuves d’audit IA en CSV

Un PDF signé est l’artefact que vous remettez à un relecteur ; un CSV est l’artefact dans lequel un relecteur travaille réellement. Le même paquet de preuves se rend dans l’un ou l’autre — le CSV aplatit juste chaque section en une seule table à largeur fixe afin qu’un auditeur puisse filtrer par section, trier par at_utc, ou parcourir un id de contrôle au grep sans ouvrir votre console.

PDF

L’artefact présentable. Le premier PDF est gratuit à des fins de démo sur tout plan.

CSV

La table plate, taguée par section, qu’un auditeur ouvre dans un tableur. Payant.

JSON

Les mêmes preuves sous forme d’enregistrements structurés pour votre propre pipeline. Payant.
Chaque format est construit à partir du même paquet de preuves et du même hash de contenu — le CSV est un rendu, pas un rapport différent. Changer de format ne change pas ce que disent les preuves, seulement la façon dont elles se lisent.

​
2. Qui peut exporter, et ce que cela coûte

Parcourir et lire votre posture de readiness est gratuit pour chaque membre. Générer un rapport est une action d’Admin : le plan gratuit inclut un rapport PDF, tandis que l’export CSV/JSON et les rapports supplémentaires requièrent un plan payant. La vérification est appliquée côté serveur, donc un appel API direct ne peut pas la contourner.
ActionRôlePlan
Parcourir le catalogue / la readinessMemberGratuit
Générer le premier PDFAdminGratuit
Générer CSV / JSONAdminPayant
Les plans gratuits incluent un rapport PDF pour faire la démo de l’artefact. L’export CSV et JSON, plus tout rapport supplémentaire, requièrent un plan payant — le serveur renvoie sinon une invite de mise à niveau, quelle que soit la façon dont l’appel est fait. Voir plan gating pour la carte gratuit/payant complète.

​
3. Un export concret

L’export est un flux à deux appels depuis la console : un Admin génère le rapport (async — il renvoie pending immédiatement), puis télécharge l’artefact une fois qu’il est ready. Les deux routes utilisent votre session console (UserAuth), pas une clé de relais.
1

Générez le rapport en CSV (Admin, payant)

Choisissez un framework et une période, choisissez CSV, et générez. Le rapport est mis en file d’attente et rendu côté serveur à partir de vos données d’application réelles pour cette fenêtre.
# Session-authenticated (UserAuth), Admin + paid plan. Driven from the console.
POST /api/compliance/reports
{
  "framework": "soc2",
  "format": "csv",
  "period_start": 1717200000,
  "period_end": 1719792000
}
Les PII (emails des membres et des acteurs) sont masquées par défaut dans chaque export. Optez pour des emails non rédigés seulement lorsque votre auditeur l’exige — la confidentialité est le défaut, pas l’exception.
2

Téléchargez l'artefact (Admin)

Une fois que le rapport est ready, téléchargez-le. Le fichier est diffusé avec un en-tête d’attachement de sorte qu’il atterrit comme un .csv prêt à ouvrir dans un tableur.
GET /api/compliance/reports/{id}/download
# → text/csv attachment
Un rapport est estampillé avec la région de résidence des données de votre espace de travail au moment de la génération. Si vous changez ensuite la région, l’ancien artefact est retenu et vous devez le régénérer — les lectures inter-régions ne sont pas servies.

​
4. Ce que contient le CSV

Le CSV est une seule table cohérente : un en-tête fixe à sept colonnes, et un tag section sur chaque ligne pour qu’un seul fichier porte toutes ses sections. L’ordre des lignes est déterministe — deux rendus des mêmes preuves produisent un CSV identique octet pour octet. 
section, id, name, clause_or_action, status_or_value, detail, at_utc
Framework, juridiction, la période de rapport, qui a fait correspondre les contrôles, un avertissement, et la région de résidence des données estampillée.
Une ligne par contrôle mis en correspondance : son id, son nom, sa clause, son statut, et le plan (guardrails ou firewall) qui l’applique.
Totaux de période : violations de guardrail, et comptes firewall allowed / blocked / audited — le registre d’application réel, pas une affirmation.
Changements de version de guardrail (opération + auteur) et changements du log d’audit, chacun horodaté — l’historique inviolable de vos éditions de politique.
Acteur admin, action, et la ressource touchée — la piste d’accès privilégié que recherchent les auditeurs.
Contrôles sans couverture, tagués gateway-enforceable ou organizational pour que vous sachiez quelles lacunes vous fermez par politique versus par processus.
Vos sous-traitants IA, une revue d’accès des clés (statut + expiration), et la liste des utilisateurs admin.
Chaque cellule de texte libre est désamorcée contre l’injection de formule de tableur — une valeur commençant par =, +, - ou @ est préfixée d’un guillemet littéral de sorte qu’ouvrir le fichier n’exécute jamais une charge qui aurait voyagé sur une sous-chaîne correspondante.

​
5. Le CSV est une preuve signée, pas un tableur en vrac

Un rapport de conformité — dans n’importe quel format — est signé Ed25519 et porte un hash de contenu SHA-256 sur ses preuves canoniques. Cela rend l’artefact publiquement vérifiable : quiconque à qui vous le remettez peut confirmer qu’il provient de votre espace de travail et n’a pas été altéré, sans compte OrcaRouter.

Vérifier un rapport

Comment un destinataire vérifie la signature contre la clé publique — aucune connexion requise.

Rapports signés

Ce qui est signé, le hash de contenu, et le lien de partage auditeur.
Besoin d’envoyer des preuves à un auditeur externe sans exporter de fichier du tout ? Émettez plutôt un lien de partage auditeur limité dans le temps — il sert le même rapport signé en lecture seule. Voir rapports signés.

​
6. Exporter les correspondances de guardrail brutes

Le CSV de conformité est la preuve curée et mise en correspondance avec le framework. Si un auditeur veut le flux de correspondances brut — chaque déclenchement individuel de guardrail derrière les comptes — vous pouvez le diffuser séparément en CSV ou JSON, filtré sur votre vue actuelle. 
# Session-authenticated (UserAuth). Streams your filtered matches as CSV.
GET /api/guardrail/match/export?format=csv
Chaque ligne est une correspondance : heure, guardrail, type de règle et label, stage, action, modèle, token, détail, la sous-chaîne correspondante, request id, et IP. Les exports sont plafonnés par requête et la sous-chaîne correspondante n’apparaît que lorsque Log raw content est activé sur le guardrail (désactivé par défaut).
Cet export est une preuve opérationnelle ligne-par-correspondance, pas un artefact de conformité signé. Pour des preuves mises en correspondance avec un framework et signées, générez un rapport de conformité (Section 3). Pour ce qui alimente les enregistrements de correspondances, voir Guardrails.

​
7. Où aller ensuite

Installer un pack

Matérialisez les règles guardrail et firewall d’un framework avant d’en faire un rapport.

Plan gating

Exactement quelles actions de conformité sont gratuites versus payantes et réservées à l’Admin.

Résidence des données

La région sous laquelle les preuves d’un rapport sont estampillées et servies.

Frameworks

Pour quels frameworks vous pouvez générer des preuves.
Un CSV est le format dans lequel vivent les auditeurs. Générez-en un en tant qu’Admin, remettez un fichier signé et vérifiable, et laissez-les parcourir les preuves au grep selon leurs propres conditions.