🔧 Produits & Technologie

Ce qui tourne prouve tout.

La plupart des livres blancs de jetons décrivent des logiciels qui n'existent pas encore. Ce chapitre décrit des logiciels que vous pouvez télécharger aujourd'hui. Trois apps iOS natives sont publiées et disponibles sur l'App Store, la plateforme web est en production, et les services de jetons Solana mintent déjà de vrais NFT et vérifient de vrais paiements sur le mainnet. Les deux smart contracts qui gouverneront l'économie de long terme du jeton sont au code complet et avancent dans un audit par étapes — et nous disons exactement cela, pas davantage.

Une plateforme, trois apps : Matsuri pour les visiteurs, GCF Admin pour les opérateurs, J-Times pour les lecteurs.

La suite en un coup d'œil

3Apps iOS nativestoutes publiées, disponibles sur l'App Store

827+Tests d'apps automatisésà travers les trois apps

43Tests de smart contracts17 buyback + 26 vesting, zéro avertissement

Chaque client — iOS ou web — parle à un seul backend Django, et seul le backend parle à Solana. Les apps ne touchent jamais la chaîne directement : la règle est toujours app → Django → Solana.

⛩️ Matsuri — l'app grand public

Statut : Publiée — disponible sur l'App Store

L'app principale des visiteurs et des résidents : réservation, paiements, achats, financement participatif, streams en direct, minage, et une ligne de vie catastrophe complète hors ligne — au même endroit, accessible en mode invité.

Matsuri — l'app d'expériences culturelles, disponible sur l'App Store.

Ouvrir Matsuri sur l'App Store →

Accueil — événements et expériences

Portefeuille — solde MTC et historique

Payer avec Phantom — une seule approbation

L'app s'organise autour de cinq onglets — Événements, Boutique, Restaurants, Financement participatif, MyPage — avec streams en direct, recherche, portefeuille, NFT et le hub catastrophe accessibles de partout. Chaque surface a son propre chapitre ; ce tableau n'est que la carte.

Surface	En une ligne
Événements & expériences	Réserver visites, événements, rencontres et ateliers ; billets QR et check-in par le personnel — Expériences
Restaurants	Découverte avec filtres de besoins alimentaires plus un vrai moteur de réservation de tables — Restaurants
Boutique	Place de marché de vendeurs vérifiés par KYC avec commandes sous séquestre et produits NFT — Boutique
Financement participatif	Campagnes « tout ou rien » avec cashback MTC par palier — Financement participatif
Live	Streams avec chat, drops et pourboires sur cinq rails — Live
Minage, portefeuille & NFT	参拝マイニング (sanpai mining — minage de visite aux sanctuaires), omikuji en RA, portefeuille MTC, galerie NFT — Minage
Ligne de vie catastrophe	Cartes d'abris hors ligne, messagerie en maillage, balise SOS — Ligne de vie catastrophe
Paiements	Stripe (cartes, Apple Pay), Solana Pay / Phantom, solde MTC — prix toujours recalculés côté serveur

Au-delà des fonctionnalités, l'app s'appuie à fond sur la plateforme iOS : widgets d'écran d'accueil, App Intents Siri, indexation Spotlight, Live Activities pour les commandes, les promesses de don et les streams, et notifications push localisées côté serveur par utilisateur.

La ligne de vie catastrophe sous le capot

Le chapitre Ligne de vie catastrophe couvre ce qu'elle fait ; voici pourquoi elle fonctionne quand tout le reste échoue. La contrainte de conception est brutale et simple : chaque outil de la ligne de vie doit fonctionner entièrement hors ligne et sans connexion.

Hors ligne d'abord, par construction

Le jeu de données national des abris d'évacuation est livré dans le binaire de l'app — la carte des abris, la liste par distance et la boussole orthodromique n'exigent aucun réseau. Les guides de sécurité en 5 langues sont embarqués de la même manière.

Maillage P2P avec messages signés

Quand les réseaux cellulaires meurent, les téléphones deviennent le réseau : un panneau d'affichage en maillage pair-à-pair hors ligne relaie les messages d'appareil en appareil avec relais multi-sauts, et chaque message est signé cryptographiquement par son appareil d'origine — un message qui a voyagé cinq sauts ne peut pas être falsifié en chemin.

Activation automatique

Un service DisasterWatchdog interroge les flux publics de la JMA (Agence météorologique du Japon) au lancement et au premier plan ; un événement majeur présente automatiquement le Hub Catastrophe en plein écran — pour les invités comme pour les utilisateurs connectés.

Signalement sur n'importe quel canal

« Je suis en sécurité » part par le canal qui survit : maillage, SMS, feuille de partage système, ou web171 — le service officiel japonais de messages en cas de catastrophe.

🛡️ GCF Admin — l'app des opérateurs

Statut : Publiée — disponible sur l'App Store

L'app opérationnelle des membres et du personnel de GCF (Global Community Friends) : tout ce que le portail admin web (gcf.works) sait faire, sur un téléphone.

GCF Admin — l'app des hôtes et des guides, disponible sur l'App Store.

Ouvrir GCF sur l'App Store →

Tableau de bord — KPI et revenus

Gestion des membres

Revenus et commissions

Surface	En une ligne
Tableau de bord	Cartes KPI, graphiques de revenus, actions rapides
Membres	Liste des membres, détail et gestion des paliers — GCF
Revenus	Suivi des commissions et gestion des versements
Contenu	Créer et publier événements, articles, podcasts et vidéos
Créneaux de guide	Publier et surveiller la place de marché des guides — Expériences
Sites sacrés & beacons	Gestion des sites et configuration des Sponsored Beacons — Minage
Configuration du minage	Probabilités d'omikuji en points de base, multiplicateurs dynamiques ajustés en temps réel — Minage
Parrainages	Génération de QR codes personnalisés et suivi des parrainages

C'est depuis cette app que l'économie du minage est pilotée : les multiplicateurs dynamiques (0.01×–50×) qui poussent les visiteurs vers les régions dépeuplées, les tables de probabilité d'omikuji, et les Sponsored Beacons que municipalités et commerçants financent — tout s'opère ici, rien n'est codé en dur.

📰 J-Times — l'app média

Statut : Publiée — disponible sur l'App Store

« 日本を、世界へ / Le Japon, pour le monde. » L'app média culturelle : articles, podcasts et vidéos — où la lecture elle-même rapporte du MTC.

J-Times — l'app média culturelle, disponible sur l'App Store.

Ouvrir J-Times sur l'App Store →

Lecteur d'articles — progression suivie

Lecteur de podcast

Surface	En une ligne
Articles	Lecteur riche avec progression de lecture ; la pile de la rédaction inclut la génération d'articles par IA et la TTS — Médias
Podcasts	6 séries, dont Japan Decoded et Tech Japan Forward
Vidéo	Séries plus vidéos courtes
Minage média	Lire, écouter, regarder et répondre aux quiz paient en MTC — plafond quotidien de 50 MTC — Médias
Formules	Paliers de lecteur Free / Premium / Pro ; contenus premium vendus à l'unité via Stripe

L'engagement est suivi en progression par utilisateur et par contenu, avec des taux de récompense réglables par les admins, un délai de refroidissement de 5 minutes entre les récompenses, et le plafond quotidien de 50 MTC — un minage qui récompense l'attention sans devenir un robinet.

📦 Un cœur partagé : JCCore

Les trois apps sont construites sur JCCore, un paquet Swift partagé — une seule implémentation de la plomberie risquée au lieu de trois copies qui dérivent.

Module	Rôle
JCAuth	Stockage des jetons dans le Keychain, gestion de session, authentification biométrique (Face ID / Touch ID)
JCNetworking	Client API typé, support WebSocket, conversion automatique du snake_case sur le fil
JCModels	Modèles de données partagés — utilisateurs, jetons, pagination, formules d'adhésion
JCDesign	Protocole de thème et design tokens (espacements, rayons)
JCUtilities	Utilitaires de dates et de chaînes

Une conséquence que ressentent les utilisateurs : l'échelle d'adhésion canonique à 4 paliers (Niveaux & Paliers) signifie la même chose dans chaque app, parce qu'elle est décodée par le même code.

🖥️ La plateforme backend

Le backend est un monolithe Django unique qui fait tourner toute l'économie — réservations, séquestre, registres de financement participatif, streams en direct, minage, et chaque yen et chaque MTC qui bouge.

Framework

Django 4.2 + Django REST Framework

Travail asynchrone

Files de tâches Celery pour les jobs d'arrière-plan

Temps réel

WebSockets Django Channels — chat, interactions live, présence

Base de données

PostgreSQL

Vidéo en direct

LiveKit, auto-hébergé sur Hetzner — aucune dépendance de streaming tierce

Rails fiat

Stripe pour les cartes et Apple Pay ; Stripe Connect pour l'onboarding et les versements des vendeurs

Sécurité des paiements

Clés d'idempotence requises sur chaque appel de paiement modifiant l'état

Tarification

Les prix sont toujours recalculés côté serveur — un client ne peut jamais fixer son propre prix

Accès à la chaîne

app → Django → Solana, sans exception

Le flux de paiement crypto montre la règle d'architecture en pratique. L'app ne construit ni ne vérifie jamais elle-même une transaction Solana — elle confie l'utilisateur à Phantom et la preuve à Django.

Résilient par défaut

Si l'utilisateur est interrompu en plein paiement — un appel, une batterie vide, une coupure réseau — l'app reprend le paiement Phantom en attente au prochain lancement, et les clés d'idempotence garantissent que la réservation est réglée exactement une fois.

🔏 Services de jetons — le mint à la demande

Une pile dédiée à trois niveaux (en production sur le mainnet) gère tout ce qui touche réellement Solana :

• API de mint (Django + DRF + Celery) — des endpoints authentifiés par clé API que les plateformes Matsuri, GCF et J-Times appellent pour l'émission automatique de NFT/SBT, les opérations sur les jetons et la gestion des métadonnées on-chain.
• Signataire Solana (Node.js + Fastify) — le seul service détenant la capacité de signature : création et transfert de jetons SPL, révocation d'autorités, mises à jour de métadonnées, mint de SBT et gestion des Metaplex Core Collections, avec tolérance retry/backoff au retard des indexeurs.
• Tableau de bord admin (Next.js) — gestion des monnaies et des métadonnées : uploads Arweave pour l'hébergement permanent des métadonnées, informations de créateur et indicateurs de vérification.

C'est la pile qui minte les actifs réels de la plateforme : les drops de NFT de présence aux événements, les NFT d'omikuji de 御朱印 (goshuin — sceau de temple), et les certificats SBT GCF Platinum — tous des actifs Metaplex Core regroupés en collections pour que des portefeuilles comme Phantom les affichent correctement, tous vérifiables sur Solscan.

🔐 Sécurité & vie privée

Keychain + biométrie

Les jetons d'authentification vivent chiffrés dans le Keychain iOS ; Face ID / Touch ID protège les actions sensibles.

Transport épinglé

HTTPS partout avec épinglage de certificat entre les apps et le backend.

Les clés ne quittent jamais le portefeuille

La plateforme ne détient jamais la clé privée d'un utilisateur. La signature est déléguée à Phantom — l'app transmet une requête, le portefeuille signe, le backend vérifie on-chain.

Liaison de portefeuille anti-rejeu

Lier un portefeuille à un compte exige de signer un défi frais émis par le serveur : une signature capturée ne peut pas être rejouée pour revendiquer le portefeuille de quelqu'un d'autre.

Barrières GPS anti-usurpation

Les check-ins du minage de visite imposent un périmètre de 200 m, des vérifications de précision GPS et de proximité, et un check-in par utilisateur, par site et par jour — les bots téléporteurs ne gagnent rien.

Mouvements d'argent audités

Les soldes MTC vivent dans un registre audité en append-only ; les retraits vers l'auto-conservation passent limites, délais de refroidissement et filtrage anti-fraude.

✅ Qualité d'ingénierie

827+Tests d'appsmodèles, viewmodels, réseau, sécurité, E2E

43Tests de contrats17 buyback + 26 vesting, dont tests par propriétés

0Avertissements de buildSwift strict concurrency ; clippy -D warnings propre

3,426LOC en périmètre d'auditzéro unwrap/panic dans le Rust de production

Les contrats Rust se tiennent à une barre plus stricte que les apps : zéro avertissement clippy, zéro unwrap ou panic dans le code de production, et des tests par propriétés aux côtés des tests unitaires — parce qu'un code de contrat, une fois déployé, ne peut pas livrer un correctif mardi.

⚖️ Smart contracts — conception open source

Statut honnête — à lire d'abord

On-chain aujourd'hui : le jeton SPL MTC (900M fixe, autorités de mint et de gel révoquées), le verrou Streamflow de 550M MTC (cliff 2027-06-01), le LP Raydium MTC/SOL initial, et la vérification des paiements Solana Pay / Phantom dans les apps en production. Rien d'autre.

Les programmes ci-dessous sont au code complet et NON déployés sur un cluster. La sécurité procède par un audit par étapes avec Hashlock (initié en avril 2026, TEAMZ Summit Tokyo) : la Phase 1 couvre matsuri-buyback — dossier de soumission complet, lancement visé pour août 2026, constats en septembre, rapport final en octobre, déploiement mainnet visé pour oct.–déc. 2026 après le listing DEX. La Phase 1.5 couvre matsuri-vesting plus matsuri-distribution au T1 2027, en service au Grand Unlock du 2027-06-01. Nous ne décrivons rien de tout cela comme « audité » — la préparation d'audit est terminée et l'audit par étapes est en cours.

Tout le code des contrats est open source : github.com/Cootakahashi/matsuri-contracts. La sécurité repose sur une conception visible, pas sur l'obscurité. L'architecture cible :

matsuri-buyback — l'entrée des revenus

Le programme qui transforme les engagements de rachat — 20% des ventes du siège Matsuri et 25% des cotisations GCF — en demande de MTC on-chain. Sa propriété définissante : c'est un convoyeur, pas une trésorerie.

Rôle

Swap-et-transfert atomique des revenus en MTC — accepte des jetons en liste blanche, échange, transfère

Route de swap

Jupiter v6 via CPI, avec un id de programme Jupiter épinglé et immuable

Jetons acceptés

MTC, USDC, SOL au lancement — liste blanche gérée par l'autorité

Défense anti-slippage

Trois couches : bps à l'exécution dans un plafond immuable fixé à l'init, dans un plafond dur de 10% à la compilation

Timelocks

Les changements de destinataire et d'autorité sont des flux propose/execute/cancel, bornés de 24 heures à 30 jours

Ne détient jamais de solde

Une post-condition de solde nul est imposée après chaque swap — il n'y a rien à voler entre les transactions

Taille & tests

1 797 LOC, 17 tests (13 unitaires + 4 par propriétés)

Statut

Code complet, cible de la Phase 1 de l'audit Hashlock — NON déployé

En Phase 1, le destinataire du transfert est un multisig Squads ; en Phase 2, il devient un Buyback Splitter qui répartit les revenus vers l'injection LP et les pools de l'écosystème.

matsuri-vesting — un coffre, un destinataire, une horloge

Le programme qui exécute le calendrier du Grand Unlock. Il est délibérément ennuyeux : pas de mineurs, pas de scoring, pas de réclamations — juste de l'arithmétique sur une horloge.

Conception

Un coffre, un destinataire protégé par timelock, une horloge

Pool

550M MTC, arrivant du cliff Streamflow le 2027-06-01

Époques

Époques de 730 jours (2 ans) ; chacune libère 50% du pool restant

Chemin de libération

advance_epoch_and_release est une manivelle sans permission — n'importe qui peut déclencher une libération due

Immuabilité

Le facteur de halving, la longueur d'époque et le pool total se verrouillent à l'initialisation et ne peuvent jamais changer

Taille & tests

1 629 LOC, 26 tests (22 unitaires + 4 par propriétés)

Statut

Code complet, cible de l'audit Phase 1.5 (T1 2027) — NON déployé

Calendrier de halvingÉpoque 1 (2027–2029) ≈ 275M → Époque 2 (2029–2031) ≈ 137,5M → Époque 3 (2031–2033) ≈ 68,75M MTC …

Références de conception Phase 2

Trois programmes supplémentaires existent comme références de conception ouvertes — publiés pour la transparence, explicitement marqués non destinés au déploiement, et prévus pour durcissement dans des phases d'audit ultérieures :

Programme	Intention de conception
matsuri-worship	Le moteur de routage des visites — la contrepartie on-chain des multiplicateurs anti-surtourisme dans Minage
matsuri-referral	Les arbres de parrainage du 縁 (en — les liens) pour l'En-Mining — Minage
matsuri-distribution	La distribution par halving avec scoring par mineur — en cours de finition pour le périmètre d'audit Phase 1.5

Un Distribution Router de Phase 2 (répartition du vesting vers les pools de visite, de parrainage et général) et le Buyback Splitter sont au stade de conception uniquement. Tant qu'un programme n'a pas passé sa phase d'audit, la logique correspondante tourne off-chain dans Django comme oracle — les mêmes règles, promues vers une exécution sans confiance requise, par étapes.

Principes de conception partagés

• Arithmétique vérifiée partout — pas de calculs non vérifiés, et zéro unwrap ou panic dans les chemins de code de production.
• Modules mathématiques purs — le calcul des récompenses et des libérations est isolé dans des modules math sans effet de bord, testés exhaustivement.
• Séparation des pouvoirs — l'autorité ne peut proposer des changements qu'à travers des timelocks bornés ; la pause arrête le programme mais ne peut jamais déplacer ni saisir de fonds.
• Économie immuable — les paramètres qui définissent la rareté du jeton sont verrouillés à l'initialisation, à dessein.

Les apps sont livrées. Le backend est en production. Les contrats sont écrits, testés et en file pour l'audit. Ce qui reste, c'est le séquencement — et la Feuille de route le détaille date par date.