Posture de sécurité

Guide produit : ce que la capacité apporte, pour qui, ses limites et la version qui l'a livrée - sans syntaxe de configuration.

Côté développeurs : Obtenir des identifiants ; côté exploitation : Brancher son fournisseur d'identité, Passer en Kubernetes.

Domaine	Ce qui est fait
Chaîne d'approvisionnement	Image distroless, non-root, multi-architecture ; SBOM, signature et attestation sans clé sur le digest ; une release re-tague le digest testé, sans reconstruire
Secrets	Toujours par référence (variable ou fichier monté), jamais en clair dans la configuration - une valeur en clair refuse le chargement
Chemin de requête	Fermé par défaut ; validation des paramètres et du corps contre le contrat ; aucune erreur interne de l'amont relayée ; en-têtes de sécurité sur chaque réponse
Données personnelles	Zéro PII dans les journaux ; sujet haché dans l'audit et les compteurs ; aucune invite d'IA journalisée
Règles prouvées	Les règles métier RG-* sont des conditions de sortie testées, pas des intentions ; revue de sécurité interne de l'authentification et de l'isolation avant 1.0.0
IA	Aucun modèle ne décide d'une autorisation, d'un débit ou d'un routage : l'IA propose, la configuration dispose
Limites	Pas d'audit de sécurité externe à ce jour ; pas de WAF ni d'anti-DDoS (le rôle du bord) ; la preuve d'exécution exportable pour le règlement européen sur l'IA arrive en 1.9.0

Détail d'exploitation : Passer en Kubernetes.