Härdning efter panelgranskningen: kedjad logg, förseglat avslut, härledd säkerhetsnivå

Fyra av granskningens fynd åtgärdade, i bevisvärdesordning.

HASHKEDJAN (ALVA-SPEC-070). Triggrar skyddar loggen mot applikationen,
inte mot den som äger databasen — det var granskningens allvarligaste
invändning mot ett system vars hela värde är bevisvärde. Varje händelse
bär nu en hash av sitt innehåll och föregående händelses hash, beräknad
av servern vid insättningen. All skrivning går genom en enda kedjande
funktion; en händelse vid sidan av kedjan är ett hål i beviset, så den
bekväma vägen förbi finns inte. Digest tas över den LAGRADE händelsen,
efter kryptering: verifieringen ska kunna räkna om den ur databasen för
all framtid, och krypto-shredding förstör nycklar, inte rader, så kedjan
överlever en radering. Radlås per ärende hindrar att två samtidiga
batchar forkar kedjan — en falsk larmande verifiering avfärdas snart som
trasig, och då är den värdelös.

Integrationstestet provar hotmodellen ordagrant: triggern släpps, en rad
ändras med full databasbehörighet, triggern återskapas. Verifieringen
pekar ut raden — inte bara att något är fel, utan vilken.

FÖRSEGLINGEN. Avslut skriver kedjans rot och en HMAC med en nyckel som
aldrig finns i databasen, i samma transaktion som avslutshändelsen. Den
som räknar om hela kedjan efter sin ändring stoppas av att förseglingen
inte går att räkna om utan nyckeln. Engångs: triggern vägrar ändra en
satt försegling. Svaret säger vad det bevisar och inte — innehållet är
oförändrat sedan mottagandet, ingenting om tiden före, ingenting om
sanningshalten. Den texten följer med in i varje rapport som citerar
svaret, för det är precis den skillnad en motpartsjurist annars hittar.

SIGNATUREN. Fältet hette signatur men var teknikerns egen text — det
inbjöd en jurist att tro något som inte gällde. Det skrivs nu ur
verifierad token som övriga härkomstfält och intygar exakt vad det kan
intyga: vem som var inloggad när avslutet togs emot.

SÄKERHETSNIVÅN (ALVA-SPEC-071). Var teknikerns fria val — ett
självskattat värde som ser ut som en mätning. Nu ett tak härlett ur
underlaget: hög kräver reproducerat symptom OCH spårbart mätvärde ur
mätdonsregistret; enbart observationer bär inte ens medel. Teknikern kan
sänka men aldrig höja — asymmetrin är poängen, ärlig osäkerhet är
information. Grinden spärrar påståenden över taket på alla tio språken,
och gränssnittet visar taket medan arbetet pågår i stället för att spara
beskedet till avslutsknappen. "Delvis reproducerat" bär inte hög: delvis
är ett annat ord för att felet inte är förstått.

Taket bet direkt i två av våra egna testfixturer som påstod hög utan
spårbart mätdon — vilket är regeln som fungerar, inte testet som är fel.
Genomgången avslöjade följdkravet: vid medel/låg kräver panelen att
teknikern anger vilka ytterligare kontroller som skulle stärka
bedömningen, och det fältet fylls nu i som en tekniker skulle.

Kvar ur granskningens lista, medvetet: extern förankring (RFC 3161),
klienthashat foto vid upptagning, gränsvärden som data, OIDC/SAML.

766 tester, 200 integrationskontroller mot riktig Postgres — inklusive
sabotage som databasägare — genomgång 4/4, portalspärr, typkontroll,
lint och artefaktmätning gröna. Utgåva 3.3, API-specen uppdaterad,
åtgärderna bokförda i panelrapportens bilaga A.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt

felsokning/docs/PANELGRANSKNING-2026-08.md

@@ -910,3 +910,21 @@ nästa generations standard bör innehålla:
 > Panelen noterar avslutningsvis att den under granskningen inte funnit
 > något ställe där systemet påstår mer än det kan belägga. Det är
 > ovanligt, och det är det som gör rekommendationen möjlig.
+
+---
+
+## Bilaga A · Åtgärdat efter granskningen (ALVA 3.3)
+
+Granskningen ovan är ett ögonblicksfoto av 3.2 och står orörd. Följande
+har åtgärdats efteråt; resten av åtgärdslistan gäller fortfarande.
+
+| Fynd | Åtgärd | Var |
+|---|---|---|
+| Ingen kryptografisk kedja (§2.13 p1) | Hashkedja per ärende, beräknad av servern vid insättning. Digest tas över den lagrade händelsen, så en ändrad rad upptäcks även om hashkolumnen lämnas orörd. Integrationstestet provar panelens hotmodell ordagrant: triggern släpps, en rad ändras som databasägare, triggern återskapas — verifieringen pekar ut raden. | `services/gemensam/kedja.mjs`, `GET /api/arenden/{id}/kedja` |
+| Förseglingen (§2.13 p2, delvis) | Avslut förseglar kedjans rot med HMAC under `FORSEGLING_NYCKEL`, som aldrig finns i databasen. Förseglingen är engångs — triggern vägrar skriva om den. **Extern förankring (RFC 3161) återstår.** | `skrivKedjat`, `skydda_arende` |
+| Signaturen är ett namn (§2.2 p1) | `signatur` skrivs ur verifierad token, klientens värde ignoreras. Fältet intygar nu exakt vad det kan intyga. | `services/gemensam/handelser.mjs` |
+| Självskattad säkerhetsnivå (§2.7 p1, §3) | Nivån är ett tak härlett ur underlaget — hög kräver reproducerat symptom och spårbart mätvärde ur mätdonsregistret. Teknikern kan sänka, aldrig höja, precis som paneldiskussionen enades om. Grinden spärrar ett påstående över taket, och gränssnittet visar taket medan arbetet pågår i stället för vid avslutsknappen. | `services/gemensam/sakerhet.mjs`, `grind.mjs` |
+| Vad fotot bevisar (§2.8, delvis) | Verifieringssvaret säger uttryckligen vad kedjan bevisar och inte: *"Content unchanged since receipt … nothing about the time before receipt, nothing about accuracy."* Klienthashning vid upptagning återstår. | `GET /api/arenden/{id}/kedja` |
+
+Provat med 766 enhetstester och 200 integrationskontroller mot riktig
+Postgres, inklusive sabotage med full databasbehörighet.