Retour Enterprise
    Sécurité Enterprise

    Confiance de bout en bout, par défaut.

    Identité, chiffrement en transit et au repos, gestion des secrets, audit et défauts durcis. Ce n'est pas une roadmap — c'est ce qui ship aujourd'hui dans la plateforme.

    SSO OIDC / SAML + SCIMmTLS + rotation des certificatsVaults externes (HashiCorp / AWS / Azure / GCP)Audit streamé vers votre SIEM
    Identité & accès

    SSO standards-first, RBAC fail-closed, isolation stricte.

    • Single sign-on standards-first — OpenID Connect avec PKCE, discovery et validation JWKS ; SAML 2.0 avec vérification XML-DSig réelle contre le certificat IdP pinné (les tentatives de multi-référence ou de downgrade d'algorithme sont rejetées). Provisioning JIT et SCIM pour synchroniser joiners, movers et leavers.
    • Authentification à deux facteurs — TOTP avec jetons partiels courts pendant la seconde étape.
    • Sessions durcies — Access tokens courts avec révocation côté serveur, rotation des refresh tokens avec détection de réutilisation par famille — un refresh token volé et rejoué brûle toute la famille. Playground et device tokens sont scopés à part et expirés proprement.
    • RBAC fail-closed — Rôles ADMIN / MEMBER / VIEWER appliqués à la couche API ; en cas de doute, la réponse est non. L'accès aux outils MCP ajoute règles de pattern, ACLs de namespace et providers de rôles pluggables (fichier, JDBC, LDAP).
    • Isolation multi-tenant stricte — Chaque organisation reçoit son runtime scopé — plugins, topics, données et quotas partitionnés par org. L'isolation est vérifiée par des suites de tests inter-orgs dédiées, pas par convention.
    • Stockage des mots de passe fait correctement — quand vous en utilisez — Les comptes locaux sont optionnels et désactivés par défaut (SSO-first). Quand ils sont activés, les mots de passe sont stockés comme vérificateurs PBKDF2-HMAC-SHA256 à 600 000 itérations (le facteur de travail recommandé par l'OWASP) avec des sels aléatoires par utilisateur, comparaison en temps constant, et hashes tagués par version pour que le facteur de travail puisse augmenter avec le temps — les anciens hashes sont mis à niveau de manière transparente à la prochaine connexion du propriétaire.
    Chiffrement en transit

    TLS et mTLS partout où ça compte.

    • TLS et mTLS dans le cluster — Réplication inter-nœuds (Raft / gRPC) en TLS serveur, mTLS avec identité par certificat client, pinning SPKI et rotation automatisée des certificats — l'identité de cluster peut venir du certificat client lui-même.
    • Front-door Kafka authentifiée — Le listener compatible Kafka parle SASL PLAIN, SCRAM-SHA-256/512 et OAUTHBEARER ; en SCRAM, le serveur ne stocke que des vérificateurs salés — jamais le mot de passe.
    • TLS sur chaque connecteur sortant — MQTT, AMQP/RabbitMQ, Redis, Elasticsearch, HTTP et Postgres/JDBC SSL.
    Chiffrement au repos

    Ciblé sur ce qui doit l'être, honnête sur le reste.

    • Les credentials ne touchent jamais le disque en clair — Les secrets connecteurs et intégrations sont scellés en AES-256-GCM dans un credential vault dédié, avec préfixes de key-id pour rotation des clés sans re-chiffrer le monde.
    • Stockage froid chiffré — Les segments tiered-storage sont chiffrés côté client (AES-256-GCM) avant de quitter le nœud ; les snapshots de cluster le sont aussi.
    • Chiffrement de champ avec classification des données — Pour sceller sélectivement des colonnes sensibles à l'intérieur des payloads d'événements.
    Gestion des secrets

    Bring-your-own-vault, fail-hard, masqué partout.

    • Bring your own vault — Une couche de secret-providers pluggable résout les secrets depuis HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, GCP Secret Manager, l'environnement ou des fichiers locaux — avec cache et syntaxe uniforme ${secret:NAME} dans la config de pipeline.
    • Deploys fail-hard sur secret non résolu — L'interpolation (${secret:…}, ${env:…}) refuse d'expédier une config à moitié résolue — un secret manquant stoppe le deploy, il n'envoie pas silencieusement un placeholder littéral.
    • Masqué partout — Les champs secrets sont masqués dans l'UI, les exports et les sorties CLI ; le store CLI local est verrouillé en permissions (0600) ; traces et trajectoires passent par un redactor PII (emails, téléphones, cartes, clés d'API) avant persistance.
    Audit & traçabilité

    Qui a fait quoi, quand — et une machine à remonter le temps par événement.

    • Journal d'audit durable — Qui, quoi, sur quelle ressource, avec quel résultat — interrogeable depuis l'UI et le CLI, et streamable en direct vers votre SIEM en SSE avec jetons de stream scopés.
    • Chaque appel d'outil IA est audité — Dans la couche MCP (appelant, outil, arguments, résultat, latence), avec persistance pluggable.
    • Time-travel par événement — Tracing distribué W3C/OTel plus trajectoires d'événements enregistrées permettent de rejouer exactement ce qu'a fait un pipeline — PII redactées avant stockage.
    • Approbations human-in-the-loop — Pour les actions sensibles : routez n'importe quel appel d'outil via une porte d'approbation (Slack / WhatsApp / email) et conservez la décision dans la piste d'audit.
    Durci par défaut

    Privé par défaut, anti-abus, exécution user-code sandboxée.

    • Privé par défaut — Le serveur bind sur localhost jusqu'à autorisation contraire ; les conteneurs tournent en utilisateur non-root.
    • Protection SSRF intégrée — Le HTTP sortant depuis les pipelines résout d'abord le DNS (anti-rebinding) et refuse les plages privées, loopback, link-local et endpoints de metadata cloud sauf autorisation explicite.
    • Résistance aux abus — Rate limits token-bucket par rôle et par IP, throttling brute-force sur login, quotas par org, et sandboxes éphémères réapées et révoquées à expiration.
    • Stockage anti-injection — Chaque identifiant SQL est validé et quoté ; chaque valeur passe par des prepared statements.
    • Code utilisateur sandboxé — Les fonctions custom tournent en WASM dans un interpréteur JVM pur, mémoire limitée — pas comme des processus arbitraires sur l'host.
    • Licensing signé, fail-closed — Les jetons de licence sont Ed25519-signés par le vendor et uniquement vérifiés (jamais signés) dans le produit ; les manifestes de backup sont eux aussi signature-verifiés.
    • Défense split-brain — La réplication à époques fencées empêche un leader déposé d'écrire des données périmées.

    Le même moteur à tous les niveaux.

    Rien de tout cela n'est un bolt-on "édition entreprise" : la version gratuite auto-hébergée de Pulse fait tourner le même moteur durci. Enterprise ajoute l'échelle, le SSO/SCIM au niveau organisation et le support.

    Une question sur un contrôle précis — rapports de pen-test, revues de déploiement ou mapping de conformité ?

    Nous contacter