Des déploiements souverains définis pour chaque mission.

Une mission avec l’équipe de sécurité du client. Pas un téléchargement.

Le périmètre d’un déploiement souverain est défini, chiffré et livré dans le cadre d’une mission de mise en œuvre : infrastructure, juridiction et contrôles de sécurité du client, avec un plan de renforcement et de vérification convenu avec son équipe de sécurité. Il n’existe ni installateur libre-service ni instance d’essai, car ce modèle ne convient pas à ce type d’acquéreur.

La limite est explicite. Le déploiement n’est pas présenté comme isolé du réseau : dans les modes d’horodatage connecté décrits plus bas, une seule donnée quitte le périmètre, l’empreinte SHA-256 du dossier, transmise à une autorité indépendante pour horodatage. Cette sortie a une raison d’être : un horodatage qu’un exploitant émet pour lui-même n’apporte que peu d’éléments à un tiers. Un client qui exige une isolation complète peut désactiver l’horodatage indépendant ; les affirmations possibles sont alors réduites en conséquence, par écrit. Aucune de ces implications n’est laissée à découvrir après coup.

Chaque dépendance externe est une option. Chaque choix a une conséquence annoncée.

Les capacités de la plateforme reliées à des services externes utilisent des interfaces communes, des adaptateurs identifiés et une configuration explicite. Dans un déploiement souverain, chaque capacité est désactivée, fournie par le client ou exploitée par Exedra Gate selon la mission. Le tableau précise ce que chaque choix change aux affirmations permises sur le dossier, afin que la configuration réelle et sa présentation ne divergent pas.

Cette affirmation dépend de la configuration et n’est vraie que dans celle décrite ici : vérification d’identité, filtrage et messagerie fournis par le client ou désactivés, horodatage désactivé ou sur site. Aucun document, aucune clé ni aucun événement ne quitte alors le périmètre du client en fonctionnement normal. Chaque module transféré à un service exploité ajoute uniquement la sortie de données indiquée dans sa ligne.

L’horodatage indépendant détermine la portée de l’affirmation. Son mode se choisit en connaissance de cause.

Dans chaque mode, les dossiers de preuves sont signés et chaînés par hachage. Ce qui change est l’horodatage : qui l’émet, quelles données quittent le périmètre pour l’obtenir et ce que le dossier permet ensuite d’affirmer. Le mode est décidé par écrit pendant la définition de la mission, avant la mise en service. Le mode connecté est proposé par défaut, car il conserve un horodatage indépendant sans obliger le client à contracter lui-même avec un prestataire de services de confiance. Le client peut aussi choisir son propre prestataire qualifié.

• PAR DÉFAUT

  Connecté : horodatage par une autorité désignée par Exedra Gate. Mode proposé par défaut. La seule donnée sortante est une empreinte SHA-256 envoyée pour un horodatage conforme à la RFC 3161. L’affirmation d’un horodatage indépendant reste valable ; le déploiement est décrit comme connecté mais privé, jamais comme isolé. L’autorité désignée est distincte d’Exedra Gate, qui n’est pas elle-même un prestataire de services de confiance qualifié. Si une mission exige la présomption attachée à l’horodatage qualifié dans le cadre européen, les horodatages du point d’accès désigné sont achetés auprès d’un prestataire qualifié, et non émis par Exedra Gate ; la mission identifie ce prestataire et son statut.

• PRESTATAIRE QUALIFIÉ DU CLIENT

  Horodatage par une autorité qualifiée choisie par le client. Mode renforcé. Les empreintes sont transmises au prestataire de services de confiance choisi par le client. Dans le cadre européen, un horodatage qualifié bénéficie d’une présomption légale dont ne bénéficie pas un horodatage ordinaire (eIDAS, art. 41(2)); un client ayant un prestataire qualifié existant conserve ce bénéfice dans sa propre chaîne contractuelle, avec Exedra Gate en dehors de celle-ci.

• SUR PLACE

  Horodaté à l'intérieur du périmètre. Aucune donnée ne sort. La portée de l’affirmation est réduite par écrit et dans le dossier lui-même : l’horodatage est attesté par le même exploitant qui contrôle le stockage des preuves. Le dossier est donc horodaté en interne et vérifiable extérieurement quant à son format, mais jamais présenté comme horodaté de manière indépendante.

• DÉSACTIVÉ

  Aucun horodatage. Les dossiers restent signés et chaînés par hachage. Les affirmations s’arrêtent là : intégrité et ordre, avec des dates provenant des propres horloges de l’exploitant. Cette option répond à certaines exigences d’isolation complète ; ses limites sont énoncées clairement afin que le client sache ce qu’il abandonne.

Dans un déploiement souverain, vos contrôles s'appliquent.

Les plateformes cloud répondent à la question de sécurité par leurs propres certifications, car elles détiennent vos données. Ici, la plateforme s'exécute à l'intérieur de votre périmètre : les mises à jour sont livrées sous forme d'artefacts signés, que votre équipe sécurité examine et approuve avant tout déploiement, et le périmètre d'audit reste le vôtre. Dans la configuration par défaut, la seule sortie régulière est une empreinte de document transmise pour une horodatation indépendante. Cela est indiqué, non dissimulé.

Un journal d’audit ordinaire peut être réécrit par son administrateur. Celui-ci révèle la modification.

Une équipe de sécurité demandera ce que les administrateurs d’un système de preuves peuvent faire au dossier. Sur beaucoup de plateformes, le journal d’audit est un ensemble de lignes en base de données qu’une personne disposant de privilèges élevés peut modifier après coup sans trace. Ici, chaque action est ajoutée à une chaîne de hachage : chaque entrée contient l’empreinte de la précédente, le dossier est signé avec Ed25519 et, dans les modes connectés, ancré par des horodatages RFC 3161 émis indépendamment. Modifier ou supprimer une entrée rompt la chaîne ; une vérification révèle la rupture, quels que soient l’auteur et ses privilèges.

La promesse est volontairement plus précise que le terme généralement utilisé dans le secteur. Rien n’empêche une personne privilégiée d’agir ; aucun système honnête ne peut le garantir. Le journal permet de détecter et d’attribuer une modification rétrospective : l’état antérieur du dossier reste vérifiable et un dossier altéré ne passe plus les contrôles. La détection peut se démontrer ; l’inaltérabilité ne peut être qu’affirmée.

Le système de preuves reste entre les mains du client.

Dans chaque mode : un moteur de signature développé en interne, sans prestataire tiers de signature électronique dans ce parcours ; un contrôle d’accès par document et par personne, avec isolation des clients au niveau des lignes de la base de données ; un journal d’audit à chaînage de hachages ; des dossiers de preuves dans des formats standards, avec SHA-256 pour les empreintes, Ed25519 pour les signatures et des jetons RFC 3161 si le mode choisi en comporte, vérifiables hors ligne avec des outils standards gratuits ; enfin, un processus par lequel l’équipe de sécurité du client approuve chaque mise à jour avant son application.

Neuf secteurs dont les régimes rendent le cas concret.

Chaque page décrit, à partir de sources primaires, le cadre réglementaire du secteur, ce qu’un déploiement souverain y changerait, une configuration plausible des modules et ce qu’Exedra Gate ne résout pas. Cette dernière section figure volontairement sur chaque page.