Modèle de sécurité

Argy aborde la sécurité comme un pilier de plateforme : identité, gouvernance, traçabilité et garde-fous sont conçus nativement dans le produit.

Identité & Accès (IAM)

Authentification passwordless-first

Argy est passwordless-first :

• WebAuthn / Passkeys (primaire)
• Magic link (onboarding, récupération, fallback)
• OIDC (Microsoft Entra ID, Okta, Google Workspace)
• SAML 2.0 (SSO entreprise)
• Device Flow (RFC 8628) pour les agents et terminaux

L’authentification par mot de passe est explicitement désactivée.

Rôles RBAC

Rôles typiques :

• PLATFORM_ADMIN
• PLATFORM_ENGINEER
• PLATFORM_PM
• PLATFORM_USER
• COMPLIANCE_APPROVER

Argy supporte SCIM pour le provisionnement des utilisateurs et groupes.

Multi-tenancy & Isolation des données

Argy garantit l’isolation des tenants à plusieurs niveaux :

• PostgreSQL : Row-Level Security (RLS) avec tenant_id sur chaque table
• Redis : prefixes de clés par tenant
• API : x-tenant-id et x-org-id validés à chaque requête
• Stockage objet : partitionnement par tenant
• Gouvernance LLM : quotas et filtres par tenant et organisation

Auditabilité

• Chaque action est logguée avec contexte (qui/quoi/quand/ressource).
• Les requêtes LLM sont traçables (utilisateur, modèle, tenant) avec correlation IDs.
• Rétention minimale : 90 jours, export CSV.
• Chiffrement optionnel AES-256 du contenu requêtes/réponses.

Chiffrement (transport et données)

• TLS 1.2+ pour le trafic HTTP
• AES-256 au repos pour les credentials (et optionnellement pour l’audit)
• JWT signés en RS256
• Sessions courte durée dans Redis avec TTL

Sécurité inter-services

Les appels internes entre services sont protégés via signature HMAC (timestamp + tenant + body) pour éviter le rejeu et la falsification.

Hardening Kubernetes (self-hosted / on-prem)

En déploiement Kubernetes, les services Argy suivent des pratiques de durcissement :

• Pod Disruption Budgets (PDB)
• Network Policies default-deny + règles par service
• Exécution non-root, root filesystem read-only, capabilities supprimées
• Anti-affinité pour répartir les services critiques

Scanning sécurité

Argy inclut des briques de sécurité comme :

• Trivy (vulnérabilités images, filesystem, IaC)
• Gitleaks (détection de secrets)
• SBOM

Agents d’exécution

Les agents d’exécution peuvent être managés (SaaS) ou self-hosted. Ils sont protégés par :

• HMAC (SaaS) ou API key (on-prem)
• Workspace isolé par run (/work/<runID>/)
• Filesystem read-only (sauf /tmp et le workspace)
• Exécution non-root (uid 1001)

Pour voir l’impact concret (standardisation, gouvernance, traçabilité), consultez nos cas d’usage.