Sécurité

Chiffrement et secrets

Dernière mise à jour · 7 octobre 2026

Comment les jetons, les clés et les mots de passe sont chiffrés, et ce qui borne leur usage.

Chiffrement et secrets

Couche	Comment
En transit	TLS 1.2 et 1.3 uniquement, avec HSTS. Les versions antérieures sont refusées et les tickets de session désactivés. Les services internes communiquent sur un réseau privé, sans port publié.
Secrets d’intégration	Chaque jeton est chiffré en AES-256-GCM avant écriture, dans une colonne distincte de la configuration lisible. GCM est un chiffrement authentifié : vecteur d’initialisation aléatoire de 96 bits par enregistrement et tag de 128 bits, de sorte qu’une altération du stockage échoue au déchiffrement au lieu d’être acceptée en silence.
Clé maîtresse	Détenue dans HashiCorp Vault sous un scellement de Shamir et chargée en mémoire au démarrage du service. Elle ne figure ni dans le code, ni dans la configuration, ni dans les images de conteneur, ni dans les journaux.
Au repos	Base de données chiffrée au repos chez OVHcloud. Sauvegardes quotidiennes, chiffrées sur le serveur avant d’en sortir, puis déposées dans un stockage objet chiffré réparti sur trois zones de disponibilité, en région française distincte du site de production, avec versioning. Les restaurations sont vérifiées depuis ce stockage plutôt que supposées.
Fiches d’annuaire	La fiche d’annuaire complète synchronisée depuis votre fournisseur d’identité est chiffrée avec le même schéma avant stockage.
Mots de passe des comptes Lutril	Argon2id, 64 Mio de mémoire et 3 itérations, avec un poivre serveur détenu hors de la base. Non réversibles.

Les jetons ne ressortent jamais. Aucune réponse d’API, aucun journal, aucun export et aucun écran n’en affiche un, même tronqué, même à un administrateur de votre propre espace de travail.
Portée minimale. Nous demandons d’abord des scopes de lecture d’identité. Un scope en écriture n’est sollicité que là où une fonctionnalité que vous avez activée l’exige, comme créer ou révoquer un compte.
La révocation fonctionne des deux côtés. Déconnectez l’intégration dans Lutril et le secret est détruit, ou révoquez l’autorisation dans la console du fournisseur et nous perdons l’accès sans avoir à agir.
Les appels sortants sont validés avant d’être émis. Une URL que vous fournissez est vérifiée contre une liste d’adresses routables sur Internet, et l’adresse résolue est épinglée pour la durée de la connexion, de sorte qu’une réponse DNS ne peut pas changer entre la vérification et l’appel. Les identifiants sont retirés lors d’une redirection vers une autre origine.

Retour au portail sécurité

Chiffrement et secrets

Couche	Comment
En transit	TLS 1.2 et 1.3 uniquement, avec HSTS. Les versions antérieures sont refusées et les tickets de session désactivés. Les services internes communiquent sur un réseau privé, sans port publié.
Secrets d’intégration	Chaque jeton est chiffré en AES-256-GCM avant écriture, dans une colonne distincte de la configuration lisible. GCM est un chiffrement authentifié : vecteur d’initialisation aléatoire de 96 bits par enregistrement et tag de 128 bits, de sorte qu’une altération du stockage échoue au déchiffrement au lieu d’être acceptée en silence.
Clé maîtresse	Détenue dans HashiCorp Vault sous un scellement de Shamir et chargée en mémoire au démarrage du service. Elle ne figure ni dans le code, ni dans la configuration, ni dans les images de conteneur, ni dans les journaux.
Au repos	Base de données chiffrée au repos chez OVHcloud. Sauvegardes quotidiennes, chiffrées sur le serveur avant d’en sortir, puis déposées dans un stockage objet chiffré réparti sur trois zones de disponibilité, en région française distincte du site de production, avec versioning. Les restaurations sont vérifiées depuis ce stockage plutôt que supposées.
Fiches d’annuaire	La fiche d’annuaire complète synchronisée depuis votre fournisseur d’identité est chiffrée avec le même schéma avant stockage.
Mots de passe des comptes Lutril	Argon2id, 64 Mio de mémoire et 3 itérations, avec un poivre serveur détenu hors de la base. Non réversibles.

Les jetons ne ressortent jamais. Aucune réponse d’API, aucun journal, aucun export et aucun écran n’en affiche un, même tronqué, même à un administrateur de votre propre espace de travail.

Portée minimale. Nous demandons d’abord des scopes de lecture d’identité. Un scope en écriture n’est sollicité que là où une fonctionnalité que vous avez activée l’exige, comme créer ou révoquer un compte.

La révocation fonctionne des deux côtés. Déconnectez l’intégration dans Lutril et le secret est détruit, ou révoquez l’autorisation dans la console du fournisseur et nous perdons l’accès sans avoir à agir.

Les appels sortants sont validés avant d’être émis. Une URL que vous fournissez est vérifiée contre une liste d’adresses routables sur Internet, et l’adresse résolue est épinglée pour la durée de la connexion, de sorte qu’une réponse DNS ne peut pas changer entre la vérification et l’appel. Les identifiants sont retirés lors d’une redirection vers une autre origine.