Wie beslist, en wie controleert dat

Een geldsysteem is zo betrouwbaar als de mensen die aan de knoppen mogen. Dit hoofdstuk gaat over wie dat zijn, hoe langzaam die knoppen draaien, en wat je kunt doen als je het er niet mee eens bent.

---

Drie sloten op de spelregels

Het dagelijks beheer doet de bank zelf. Maar aan de spelregels zelf, zoals de hoogte van de taks of de omvang van de basispuls, kan niemand zomaar draaien. Elke wijziging moet door drie sloten achter elkaar.

Slot I: geen spelregel mag de dekking aantasten. Geen enkele wijziging van een tarief, een drempel of de omvang van de vloer mag de dekking onder één kilowattuur per munt duwen. Dit gaat over de spelregels, niet over uitgifte; bijdrukken in nood is apart geregeld, verderop. Wie ongedekt wil uitgeven moet dat langs die weg doen en het aan iedereen laten zien, niet via een tariefje dat toevallig hetzelfde effect heeft. En voor de basispuls geldt een ratel: hij kan alleen omhoog, en alleen als er nieuwe duurzame opwek tegenover staat. Naar beneden bijstellen om een tekort op te vangen kan niet. Een vloer die meegeeft is geen vloer.

Slot II: het gaat meteen het grootboek in. Elke wijziging wordt gepubliceerd, met de handtekeningen van wie hem doorvoerde eronder. Aanpassingen zonder die publicatie worden door het netwerk simpelweg geweigerd. Er is geen stille versie.

Slot III: het duurt lang en het vervalt vanzelf. Tussen aankondiging en invoering zitten minstens 30 dagen, zodat er tijd is om te protesteren. En elke wijziging heeft een houdbaarheidsdatum: na een jaar vervalt hij, tenzij iemand hem openlijk verlengt. Wie iets stiekem wil doorvoeren, moet het dus elk jaar opnieuw stiekem doen.

Waarom juist die ene knop zo zwaar weegt. De Basispuls wordt betaald uit de inkoopmarge op nieuwe opslag (zie zo ontstaat het geld). Daarmee bepaalt de hoogte van dat debiet hoeveel van de opbrengst van alle nieuwe stroom naar iedereen gaat in plaats van naar wie hem opwekte. Dat is geen tariefje in de marge maar de verdeelsleutel van het hele systeem. De ratel uit Slot I is dus niet decoratief: zonder de eis dat de structurele inkomsten het dragen, zou een verhoging van de vloer de bank dwingen ongedekt bij te slaan, en dat is precies de ene handeling die hier verboden is.

En vertrouw je de bank niet, dan loop je weg. Drie sloten zijn een rem, geen garantie. Het echte tegenwicht is dat niemand vastzit: een wijk kan zich afkoppelen, haar claims omzetten in stroom die er fysiek ligt, en later weer aansluiten bij een herstelde bank of bij een nieuwe die de mensen zelf oprichten (zie architectuur). Wie aan de knop zit, weet dat er een deur is. Dat corrigeert steviger dan welke stemprocedure ook.

---

Wie er meekijkt

Eerst het onderscheid, want het is er een dat telt. De regelset CBER-1 kent maar drie controlerende rollen: een onafhankelijke auditor, minstens drie externe getuigen die elk interval meetekenen, en een verificateur onder geheimhouding. Die drie staan in de grammatica en zijn afdwingbaar. De gekozen poortwachter hieronder staat daar níet in: dat is een bestuurlijk voorstel dat erbovenop komt, geen regel die de instance bindt. Wie dit ontwerp toetst, moet het eerste blok toetsen; het tweede is de vorm die wij ervoor voorstellen.

De poortwachter wordt gekozen, voor maximaal drie jaar, en staat los van het bankbestuur. Een misser kost hem zijn termijn niet: kon je een wachter wegsturen om een inschattingsfout, dan wordt "fout" het hendeltje waarmee een geïrriteerde bank elke lastige controleur opzij zet. Over vergissingen oordeelt de kiezer aan het eind van de rit. Over liegen, meterfraude en omkoping oordeelt de rechter, en die kan wél meteen ingrijpen.

En hij wordt niet door de bank betaald. Ieder betaalt zijn eigen mensen: de bank haar meters, de overheid haar wachter, justitie haar rechters. Het salaris ligt vast tijdens de termijn en ontslag vraagt een zware procedure, net als bij een rechter. Een controleur op de loonlijst van wie hij controleert, is geen controleur.

Ook de eigen kosten staan in het grootboek. Wat de bank uitgeeft is net zo zichtbaar als wat zij meet. Iedereen kan de sensorgegevens van de opslagstations live volgen.

Er valt niets te verdienen. Geen aandeelhouders, geen winstuitkering. De kosten komen uit vaste marges die in het open protocol staan. Een bank zonder winstoogmerk heeft geen reden om aan de meter te sleutelen.

---

Als er iets misgaat

Bij een storm, een black-out of sabotage helpt een wachttijd van 30 dagen niemand. Daarom is er een noodknop, met stevige grenzen eromheen.

In een vastgestelde noodtoestand vervalt de wachttijd, zodat de bank meteen kan bijsturen.

Maar de vloer blijft liggen. Ook in nood mag de basispuls niet omlaag om de industrie te ontzien. Wie in een crisis als eerste bij de armsten bezuinigt, heeft het ontwerp niet begrepen.

Na 72 uur vervalt de noodmaatregel vanzelf, tenzij de bank verantwoording aflegt en de poortwachter verlengt. Een noodtoestand die zichzelf verlengt is geen noodtoestand meer maar een regime.

Misbruik kost het bestuur zijn baan, en gaat naar de rechter.

Bijdrukken in nood

Soms moet het. Na een ramp kan er meer nodig zijn dan er in de accu's ligt, en dan is bijdrukken de minst slechte optie. Dat mag, en het is geen bres in het ontwerp maar juist de plek waar het zich bewijst.

Het verschil met een gewone centrale bank is namelijk niet óf er bijgedrukt wordt, maar of iemand het kan zien. Zakt de dekking naar 84%, dan levert elke munt nog 0,84 kWh en krijgt de munt vanaf dat moment openbaar de status ondergedekt (in de volksmond: fiat). Niemand wordt bedrogen; het staat op twee decimalen op de voorpagina.

De vloer merkt er niets van. De Basispuls is een recht op stroom en niet op een aantal munten, dus je warmte en licht lopen gewoon door. De verdunning valt volledig op de luxe-saldo's.

En er hoort een terugweg bij. Zonder die terugweg is elke noodgreep een blijvende devaluatie met een mooi verhaal erbij. De regel die het eerlijk houdt: een vastgelegd deel van de inkoopmarge verbrandt munten tot de dekking terug is. Dus wel lenen van de toekomst, maar de terugbetaling niet vooruit boeken. "Dit gaat zich terugverdienen" is een voorspelling, en voorspellen mag hier nergens, ook niet als het je uitkomt.

Daarmee krijgt de dekkingsgraad er een tweede betekenis bij: hij laat zien hoe diep je ging én hoe ver je terug bent geklommen.

---

Over de grens

Landen die hetzelfde model draaien kunnen hun reserves aan elkaar knopen. Dan verdwijnt het wisselkoersrisico in de handel tussen hen, want een kilowattuur is aan beide kanten een kilowattuur. Voorwaarde is wel dat allebei zich aan dezelfde eisen houden.

Je laat elkaar de sommen controleren, niet de mensen. De poortwachters van beide landen toetsen elkaars ondertekende totalen, vingerafdrukken en verklaringen, plus een steekproef door een auditor met beroepsgeheim. Gegevens op het niveau van een aansluiting, rekening of persoon gaan nooit een grens over, in geen enkele vorm. Geen wederzijdse controle, geen koppeling.

En je koppelt los als de ander zakt. Laat een partnerland zijn dekking structureel onder de norm glijden, dan gaat de koppeling eraf, zodat het probleem niet overwaait. Handelen kan gewoon doorgaan, alleen tegen een koers die de werkelijke dekking van dat land weerspiegelt.

---

Weglopen, en weer terugkomen

Het woord "federeren" valt in dit handboek vaak; hier staat wat het technisch betekent, zonder poëzie.

Federeren is wat e-mail doet. Jij zit bij provider A, je collega bij provider B, en toch kunnen jullie elkaar mailen, want alle providers spreken hetzelfde protocol. Het moderne voorbeeld is Mastodon (het ActivityPub-protocol): duizenden losse servers, eigen regels per server, maar één taal ertussen. CBER past dat patroon toe op geld: een instance is een bank of coöperatie die het open CBER-protocol draait, het protocol regelt het verkeer (betalingen, saldering, meterstanden, audits), en de grammatica is de toelatingseis: eerlijke meter, auditrecht, inwisselen tegen meterstand, basisvloer, ondertekende code. De huisregels (taks, tarieven, vloerhoogte) blijven vrij per instance.

Wat betekent afsplitsen fysiek? Niemand knipt kabels door. De afscheiding is een administratieve grens in de software; overtollige stroom blijft gewoon fysiek naar buurwijken vloeien, maar wordt anders afgerekend. Het lijkt op een hard fork in open source software: een groep kopieert de spelregels en gaat verder op een eigen spoor. Of tastbaarder: een burger die zijn goudstaven uit de nationale kluis haalt en er thuis op past. De totale hoeveelheid goud verandert niet; alleen het beheer verhuist.

Waarom de landelijke dekking niet breekt bij een afsplitsing: wie vertrekt, neemt tegen de meterstand zowel zijn claims als het bijbehorende deel van de reserve mee. Beide kanten van de balans krimpen met exact hetzelfde bedrag, dus de dekkingsgraad van het achterblijvende systeem verandert niet: 1:1 blijft 1:1, vóór en na de splitsing. Er ontstaat geen gat en geen verwatering; de realiteit splitst gewoon in tweeën, elk met een kloppende eigen meter.

Praktijkvignet: de fiets in Amersfoort

Een wijk in Utrecht splitst zich af als vrije federatie. Een bewoner reist naar Amersfoort (centraal systeem) en koopt daar een fiets. Zolang beide instances de grammatica spreken, wordt de betaling gewoon verrekend tegen de meterstand: 1 gedekte kWh-claim is 1 gedekte kWh-claim, welke vlag er ook op de instance staat. Geen chaotische wisselkoers, want beide munten zijn in hetzelfde ding gedekt. Pas als een instance de grammatica loslaat (geen eerlijke meter, geen auditrecht), vervalt die gelijkwaardigheid en handel je met haar zoals met elk vreemd geld: tegen een koers.

---

Macht die zich ophoopt, onder de lamp

Grote accubezitters zijn gewoon weer een piramide, en dat klopt: er ontstaat altijd een grootste vogel. CBER belooft niet dat de piramide verdwijnt; het belooft dat ze onder de lamp staat, aan sloten ligt, slijt, en een deur naast zich heeft.

Macht heeft hier een meeteenheid: kWh opslag. En zodra macht een fysiek ding is, verandert haar aard: ze slijt (accu's degraderen, dus macht heeft onderhoudskosten), ze doet werk (een accu die niets doet verdient niets en slijt toch), ze heeft een adres (niet naar een belastingparadijs te dragen), ze is bij de bouwmarkt te koop met gewoon werk, en ze staat op een openbare meter. Het huidige systeem heeft concentratie als standaard-uitkomst van stilzitten (geld trekt rente); CBER draait de standaard om: grote saldi bloeden de lekkage, luxehandel en groot bezit betalen de taks, en de basisvloer is onkoopbaar. Een winnaar is onontkoombaar en dat is prima: de top mag de top houden, zolang hij hem elke maand opnieuw verdient door te dienen. Het systeem haalt maar twee dingen weg: winnen in je slaap en gijzelmacht.

Voor de top van de piramide gelden vier regels:

• Het afhankelijkheidsplafond: de bank spreidt haar inkoop zoals een supermarkt zijn brood niet bij één bakker koopt: nooit leunt meer dan een vast percentage van de gegarandeerde vloer op één tegenpartij. Geen bezitsverbod (een verbod jaagt macht in stromannen en het donker in), en boven het plafond is kapitaal niet dood: de luxemarkt, de industrie en andere federaties kopen het wél. Het enige wat een reus niet kan kopen, is de positie om ieders warmte te gijzelen.
• De spreidingspremie: de omgekeerde veiling geeft lichte voorkeur aan duizend kleine aanbieders boven één reus, zodat concentratie onrendabel wordt vóórdat ze gevaarlijk wordt.
• Macht verliest privacy naarmate ze groeit: kleine bezitters zijn burgers met privacy. Boven een drempel die zowel relatief als absoluut is (zodat niemand genoemd wordt enkel omdat de instance klein is) wordt de positie zichtbaar: voor rechtspersonen met naam, voor natuurlijke personen als geanonimiseerd aandeel dat alleen opvraagbaar is met een aangetoond gerechtvaardigd belang, met gelogde inzage en bericht aan de houder. Privacy is voor mensen, transparantie is voor macht.
• De concentratiemeter: naast de dekkingsgraad toont het grootboek live het aandeel van de grootste aanbieders, en een per kwartaal geaggregeerd uitstroomrisico laat zien of er een reus onderweg is, zonder één persoon met een datum aan te wijzen.

De piramide van vandaag is donker, rentedragend en onverlaatbaar. Deze is verlicht, slijtend en verlaatbaar. Dat is geen utopie; dat is domesticatie.

---

7. Privacy, tracering en verificatie

Het systeem leunt op openbaarheid, en dat schuurt met de portemonnee. Eén regel lost dat op: privacy is voor mensen, transparantie is voor macht.

Wat openbaar is, en wat niet

Het grootboek publiceert niveaus, geen levens. Openbaar zijn: systeemniveaus. De totale reserve, de dekkingsgraad, de stromen per opslagstation (alleen samengevoegd over meerdere stations), de concentratiemeter in geanonimiseerde aandelen, en elke betaling van de bank zelf. Nooit openbaar, in geen enkele vorm en ook niet pseudoniem: individuele saldi, transacties, afroepen, plaatsen in de wachtrij en leveringsgegevens. Van je eigen mutaties krijg je een privébewijs dat ze goed in de som zijn meegeteld. Een wallet is pseudoniem jegens het grootboek: anders dan een bankrekening, die op naam staat, en nadrukkelijk anders dan een blockchain, waar elke betaling voor eeuwig publiek zichtbaar staat. Je eigen instance kent je wel (zie hieronder). De transparantie loopt op met macht: een burger onder de drempel is pseudoniem (detaildata versleuteld naar de persoon zelf), een grootbezitter boven de drempel is opvraagbaar voor wie een gerechtvaardigd belang aantoont, waarbij elke inzage wordt gelogd en de houder bericht krijgt; rechtspersonen worden wel bij naam genoemd (zie de piramide onder de lamp), en de bank zelf is volledig glas: haar enige verboden zonde is stilte.

Verifiëren is openbaar

CBER heeft geen mining of blokbevestigingen nodig. De instance (de bank of coöperatie) is per transactie de scheidsrechter: ze controleert het saldo, tekent de betaling cryptografisch en voorkomt dubbel uitgeven omdat het grootboek centraal wordt bijgehouden. Elke betaling krijgt een ondertekend bewijs in een append-only logboek met hash-ketting. Het grootboek publiceert per interval alleen de vingerafdrukken (Merkle-roots) en de totalen, zodat iedereen kan controleren dat er achteraf niets is gewijzigd of gewist, zónder ook maar één individuele betaling te kunnen lezen. De dekkingsgraad blijft publiek zichtbaar en draagt nooit een waas; de reserve ook, maar naar beneden afgerond op een vooraf gepubliceerde korrel tussen de helft van haar eigen meetonzekerheid en die onzekerheid zelf. Geen enkele regel rekent op dat weergavegetal: intern blijft de boekwaarde exact. Wie ze kan nárekenen is wel veranderd: dat doen de auditor, de medeondertekenende getuigen en een onafhankelijke verificateur onder geheimhouding. Een gewoon lid kan het op deze schaal niet zelf, want de reeksen die daarvoor nodig zijn wijzen precies de mensen aan die ze zouden moeten beschermen. En of een gepubliceerde reeks juridisch nog een persoonsgegeven is, wordt per reeks schriftelijk beoordeeld; het is nooit een blanket-uitspraak vooraf.

En het aantal munten in omloop verschijnt niet meer per interval, met een reden die eerst tegenintuïtief klinkt. Dekkingsgraad, reserve, munten en wachtrij hangen via één formule samen: wie er drie publiceert, legt de vierde exact vast, hoe grof je ook afrondt. De wachtrij bestaat uit individuele aanspraken van mensen, en in een dorp is dat vaak één iemand. Dus moest er één van de vier af, en dat is de geldhoeveelheid geworden: die is voor jou het minst nodig. Wat je namelijk wilt weten is niet hoevéél munten er zijn, maar of er stiekem bij komen. Dat blijft zichtbaar: elke uitgifte wordt per periode gepubliceerd als percentage van het totaal, met de verklaring van de auditor dat de plafonds zijn gehaald. Maar noem het een verschuiving en niet hetzelfde als eerst. Die percentages zijn percentages van een getal dat jij niet meer ziet, en de sluitcontrole (dat de dekkingsgraad op de boekwaarden is gerekend en niet op de weergavewaarden) is van de lezer naar de auditor verhuisd. Het niveau komt terug wanneer het bezit gespreid genoeg is: pas als de grootste anonieme bezitspost twaalf maanden lang onder een vaste drempel blijft, hoogstens een vijfde van dezelfde marge waarop het label draait. Die toets loopt met opzet over bezit en niet over inwisselingen, want een drempel op inwisselingen kan de bank zelf sturen via het moment van afrekenen en leveren, en dat sturen gaat dan precies ten koste van de grootste houder. Openbaar wordt alleen de uitslag, geslaagd of niet, nooit het aandeel waarop de toets liep.

Wat níet meer publiek narekenbaar is, is de samenstelling van die sommen. Elke reeks die uit persoonsgebonden metingen is opgebouwd valt onder drempels, en in een gemeenschap van tweehonderd huishoudens worden die drempels vaak niet gehaald; dan wordt de reeks onderdrukt, en de onderdrukking zelf wordt gemeld. Dat er geen munt uit het niets komt, wordt in die fase aangetoond door een onafhankelijke auditor en door medeondertekenende getuigen, niet doordat jij het zelf kunt narekenen. Dat is een echte terugtocht en zij staat hier omdat zij waar is: de volledige publieke narekenbaarheid keert pas terug wanneer het bezit gespreid genoeg is, en niet op een aantal deelnemers. De belofte dat systeemverificatie helemaal geen inzage in personen vereist, maken we bewust pas als de wiskunde die dat afdwingt daadwerkelijk draait; zolang dat niet zo is, zou het een mooiere zin zijn dan het systeem verdient.

Traceren is gelaagd

• Jijzelf: volledig. Je eigen betaalgeschiedenis is van jou, versleuteld naar jouw sleutel.
• De bank: minimaal, maar eerlijk gezegd niet blind. In fase 0 is de instance een gesloten coöperatie met een ledenadministratie: zij kent haar leden bij naam en ziet de transacties die zij afwikkelt. Pseudonimiteit geldt jegens het grootboek en jegens andere instances, niet jegens je eigen bank. Wat zij daarmee mag doen is begrensd: geen profileren op verbruikspatroon, bewaartermijnen per categorie, en elke raadpleging van een ledenrecord wordt gelogd.
• Ontmaskeren: er is niets te ontmaskeren dat de bank niet al weet. In fase 0 kent je coöperatie je gewoon, en juist daarom is er géén aparte koppelvoorziening: een drempelsysteem dat vooraf sleutels klaarlegt om pseudoniemen aan namen te koppelen mag niet bestaan zolang het ledenregister die koppeling al is. Dat scheelt precies één achterdeur. Zodra je federeert en een instance haar leden níet kent, keert de drempelprocedure terug: meerdere onafhankelijke bewaarders, alleen na een rechtmatig bevel van een bevoegde autoriteit (in Nederland ook een vordering van de officier van justitie), en alleen binnen de EU.
• Het kijken wordt bekeken, maar zonder jou aan de schandpaal. Openbaar zijn de aantallen: hoeveel vorderingen er kwamen, van welk soort autoriteit, op welke grondslag, op vaste momenten en ook als het er nul waren. Wie er is geopend staat daar níet bij: jij krijgt dat privé te horen, en als een onderzoek uitstel van die melding beveelt, komt zij automatisch zodra het uitstel afloopt.
• Wie in jouw dossier kijkt, is bekend. Elke raadpleging van een ledenrecord is herleidbaar tot een met naam bekende persoon, wordt gelogd, en jij krijgt bericht. Wie jouw huishouden, adres of eerstegraads familie deelt, kan er technisch niet bij.

Wat CBER bewust niet biedt

Volledige anonimiteit. Anoniem geld sluit de taks en fraudedetectie uit; dat is een eerlijke keuze, geen omissie. De belofte is pseudonimiteit met wettelijke sloten, geen onzichtbaarheid.

Weglopen werkt voor je geld, en voor je gegevens maar half. De exit is echt: je claims en je reserve-aandeel gaan met je mee, tegen de meterstand, en niemand kan je tegenhouden. Je sporen gaan niet allemaal mee terug. Wat is afgewikkeld is afgewikkeld, en aggregaten die al gepubliceerd zijn blijven staan; het grootboek is append-only en dat is precies wat het controleerbaar maakt. Wat wél afdwingbaar is: je persoonsgebonden records worden vernietigd binnen de vastgelegde termijnen, je statushistorie reist niet mee naar een andere instance, en bij ontbinding of faillissement horen ledengegevens nooit tot de boedel. Dat is de eerlijke stand: geld is draagbaar, geschiedenis maar deels.

Verdeling volgens de grammatica: dát de bank systeemniveaus publiceert en accountniveaus nooit, dát individuele inzage een rechtmatig bevel vereist en zelf een openbaar spoor nalaat, dát bewaartermijnen en dataminimalisatie vaste maxima kennen, en dát de code open is: grammatica. Drempelhoogtes en de inrichting van het dashboard: huisregels.

---

8. Eén mens, één vloer (het Anker-protocol)

De Basispuls is per mens, en dus moet het systeem kunnen garanderen dat één persoon niet honderd keer een vloer trekt (een Sybil-aanval), ook over gefedereerde instances heen. De valkuil is de voor de hand liggende oplossing: een centrale database die namen aan wallets koppelt. Die database is precies de honeypot die §7 verbiedt. Het Anker-protocol lost het op zonder die database.

• Het zaad valt niet te vergeten, maar het bestaat misschien nog niet. Het geheime zaad moet komen uit een identiteitskenmerk dat aan strenge eisen voldoet: uitgegeven door de staat, per persoon altijd hetzelfde, één waarde per mens voor de hele federatie, en met genoeg willekeur erin. Dat is bewust geen persoonsnummer. Eerlijk erbij: van de Europese identiteitswallet is nog niet zeker dat zij zo'n kenmerk levert, want een wallet die per dienst een eigen pseudoniem verzint voldoet juist níet. Zolang dat per land niet is aangetoond, kan inschrijving op dit anker niet starten en blijft alleen de sociale route over. Afleiden uit het BSN is wettelijk verboden, en gescande chipdata is kopieerbaar; daarom vereist inschrijving een live chipsessie, een passieve paspoortscan volstaat nooit. Telefoon kwijt, alles kwijt? Een nieuwe wallet-sessie geeft exact hetzelfde zaad terug. Er valt niets te onthouden, dus vergeetachtigheid kan nooit per ongeluk een tweede mens scheppen.
• De blinde molen. De nullifier (de stempel) wordt berekend als een threshold-OPRF: de sleutel is verdeeld over meerdere partijen, de invoer is geblindeerd, en niemand (ook geen enkele instance alleen) kan iemands stempel narekenen of opzoeken. De stempel geldt per instance en niet federatiebreed, juist om te voorkomen dat er een levenslang nummer ontstaat dat je overal volgt.
• De set is niet openbaar. Eerdere versies publiceerden de stempellijst. Dat is geschrapt: een gepubliceerde lijst van stabiele tokens is een herkenningsoppervlak, en publicatie was voor het doel niet nodig. Openbaar zijn alleen een ondertekende vingerafdruk van de lijst, de verdeling van zekerheidsniveaus en aggregaten. Uniciteit wordt afgedwongen met een bewijs dat je er nog níet in staat. Juridisch blijven het persoonsgegevens, dus elke instance doet verplicht een DPIA.
• De wallet bewijst uniciteit, een attestatie bewijst leven. Een identiteitsbewijs weet niet of je nog leeft of waar je woont. Daarom komen er periodiek kleine attestaties binnen. Die mogen uit je eigen gemeenschap komen, maar één attestatie van een instantie met beroepsgeheim (huisarts, opvang, wijkteam, woningcorporatie) vervangt de hele buurtronde: wie niet gezien wil worden, hoeft zijn buren niets te vragen. Wie attesteert, blijft voor de instance verborgen. En dit is de belangrijkste correctie: het uitblijven van attestaties dooft je vloer nooit op zichzelf. Er komt eerst een mens aan te pas, buiten de gemeenschap en buiten de operatie, met bericht vooraf, opschortende werking en negentig dagen respijt.
• Wie geen papieren heeft, doet mee, en wie niet wil ook. Web-of-trust-inschrijving kan, op een lager en eerlijk gedeclareerd zekerheidsniveau. En er is een handmatige route: een mens stelt vast dat je één mens bent, zonder token, zonder buurtattestaties, waarbij het risico bij de instance ligt. Nee zeggen tegen de identiteitslaag mag je bestaansminimum niet kosten. Betalen, borg of rekenwerk als toegangspoort blijft verboden: de vloer is onvoorwaardelijk, dus de poort mag nooit geld kosten.
• Als je in gevaar bent. Wie verklaart dat zichtbaarheid hem in gevaar brengt, kan zijn uitbetaling onmiddellijk verplaatsen: geen aankondiging, geen wachttermijn, geen bezwaarrecht voor wie de oude binding had, geen verse buurtattestaties. Naar buiten toe blijft ondertussen het oude beeld staan, en elke poging om je status te openen wordt vastgelegd en aan jou gemeld. Zie de privacyverklaring.
• En de bekende spier voor de randgevallen: een corrupte documentuitgever (dubbele persoonsnummers) krijgt een lager zekerheidsniveau in de koppelcontracten en wordt uit de gedeelde vloer-context geschorst: dezelfde ontkoppellogica als bij een gezakte dekkingsgraad, nu toegepast op identiteit.

In één zin: de wallet bewijst dat je uniek bent, een attestatie bewijst dat je leeft, de molen houdt beide blind, en de lijst blijft binnen. Dát uniciteit afdwingbaar is zonder publieke lijst, is grammatica; wélk anker (een geschikt staatskenmerk, web-of-trust, handmatige toelating) een instance accepteert, is een huisregel, en de deur staat zoals altijd open.