Modèle de sécurité

Argy aborde la sécurité comme un pilier de plateforme : identité, gouvernance, traçabilité et garde-fous sont conçus nativement dans le produit.

Identité & Accès (IAM)

Authentification passwordless-first

Argy est passwordless-first :

• WebAuthn / Passkeys (primaire)
• Magic link (onboarding, récupération, fallback — désactivé si SSO actif)
• OIDC par tenant (Microsoft Entra ID, Okta, Google Workspace)
• SAML 2.0 par tenant (SSO entreprise)
• Device Flow (RFC 8628) pour les agents et terminaux

L'authentification par mot de passe est explicitement désactivée.

SSO par tenant

Argy supporte un IdP distinct par tenant : chaque organisation peut connecter son propre fournisseur d'identité sans impacter les autres tenants.

L'utilisateur saisit uniquement son adresse email. Argy résout automatiquement l'IdP et le redirige sans friction — aucune action manuelle n'est requise de la part des utilisateurs finaux.

Quand SSO est actif pour un tenant, les magic links sont automatiquement désactivés.

La configuration SSO est gérée par un administrateur (PLATFORM_ADMIN) via les API Argy. Les protocoles supportés sont OIDC (Authorization Code + PKCE) et SAML 2.0. Le provisionnement des utilisateurs à la première connexion est automatique (Just-in-Time).

Pour les instructions de configuration pas-à-pas, voir Configuration SSO.

Rôles RBAC

Rôles typiques :

• PLATFORM_ADMIN
• PLATFORM_ENGINEER
• PLATFORM_PM
• PLATFORM_USER
• COMPLIANCE_APPROVER

Argy supporte SCIM pour le provisionnement des utilisateurs et groupes.

Multi-tenancy & Isolation des données

Argy garantit l'isolation des tenants à plusieurs niveaux :

• Base de données : isolation complète des données par tenant
• API : contexte tenant validé à chaque requête
• Stockage objet : partitionnement par tenant
• Gouvernance LLM : quotas et filtres par tenant et organisation

Auditabilité

• Chaque action est loguée avec contexte (qui/quoi/quand/ressource).
• Les requêtes LLM sont traçables (utilisateur, modèle, tenant) avec correlation IDs.
• Rétention minimale : 90 jours, export CSV.
• Chiffrement optionnel du contenu des requêtes/réponses.

Chiffrement (transport et données)

• TLS 1.2+ pour tout le trafic HTTP
• Chiffrement au repos pour les credentials et secrets
• Tokens signés avec algorithme asymétrique (RS256)
• Sessions courte durée avec expiration automatique

Sécurité inter-services

Les appels internes entre services sont protégés via signature HMAC pour éviter le rejeu et la falsification.

Hardening Kubernetes (self-hosted / on-prem)

En déploiement Kubernetes, les services Argy suivent des pratiques de durcissement :

• Pod Disruption Budgets (PDB)
• Network Policies default-deny + règles par service
• Exécution non-root, root filesystem read-only, capabilities supprimées
• Anti-affinité pour répartir les services critiques

Scanning sécurité

Argy inclut des briques de sécurité comme :

• Trivy (vulnérabilités images, filesystem, IaC)
• Gitleaks (détection de secrets)
• SBOM

Agents d'exécution

Les agents d'exécution peuvent être managés (SaaS) ou self-hosted. Ils sont protégés par :

• Workspace isolé par run
• Filesystem read-only (sauf répertoire de travail)
• Exécution non-root

Pour voir l'impact concret (standardisation, gouvernance, traçabilité), consultez nos cas d'usage.