Secteur public
Une passerelle que vous hébergez, sur des standards ouverts.
Flexway vous aide à exposer vos API et vos services numériques sans dépendre d'un service tiers : auto-hébergé, configuré par des contrats ouverts, édité en Europe.
Ce que Flexway décide, chez vous
Qui appelle, ce que Flexway décide, ce qui est appelé : chaque trajet est un cas d'usage de votre secteur. En pointillé, ce qui est à venir.
Architecture pour le secteur public : les usagers du portail, les autres administrations et les logiciels métier passent par Flexway, dans votre infrastructure. Flexway vérifie le jeton de votre fournisseur OIDC, identifie chaque administration par son certificat client, publie sur un canal AsyncAPI déclaré, audite et trace chaque décision et ne sert que le contrat, devant vos services métier, vos systèmes existants et votre courtier AMQP ou MQTT. Une opération non déclarée reçoit un 404.
- Usagers (portail)
- Les usagers du portail public : leurs requêtes n'atteignent que ce que le contrat déclare, avec votre fournisseur d'identité.
- Administrations
- Les autres administrations : leurs échanges passent par Flexway, authentifiés par certificat client.
- Logiciels métier
- Les applications qui appellent vos API : chaque requête passe par Flexway, qui vérifie le contrat et l'identité avant d'atteindre vos systèmes.
- Fermé par défaut
- Fermé par défaut : seul ce que le contrat déclare est servi ; en-tête, méthode ou origine non déclarés sont refusés.
- Votre fournisseur OIDC
- Vos jetons OIDC, de plusieurs émetteurs à la fois, sont vérifiés par Flexway : signature, émetteur, audience.
- Certificat client
- Le certificat client (mTLS) identifie chaque partenaire et le lie à son tenant, transmis prouvé à vos services.
- Canal AsyncAPI déclaré
- Le canal doit être déclaré dans le contrat AsyncAPI ; un canal non déclaré est refusé avant toute publication.
- Audit et traces
- Chaque décision d'autorisation est journalisée dans un audit chaîné et vérifiable, sans contenu de requête.
- Services métier
- Vos services REST et gRPC : ils ne reçoivent que les requêtes que Flexway a laissées passer, sous délai et coupe-circuit.
- Systèmes existants
- Vos systèmes existants : un service gRPC devient appelable en REST, sans réécriture, par les descripteurs Protobuf.
- Courtier AMQP, MQTT
- Vos courtiers Kafka, AMQP, MQTT et NATS : Flexway y publie sous contrat AsyncAPI, en enveloppe CloudEvents.
- Ligne : un trajet
- Correspondance : décision partagée
- Requête
- Événement
- Refus
- Votre infrastructure
- Fermé par défautseul le contrat est servi
- Votre fournisseur OIDCplusieurs émetteurs à la fois
- Certificat clientéchanges entre administrations
- Canal AsyncAPI déclarépublié sur AMQP ou MQTT
- Audit et tracessans backend externe
1Un usager se connecte au portail
Ce que Flexway décideLe jeton de votre fournisseur OIDC est vérifié (émetteur, audience) ; seul ce que déclare le contrat est servi.
Ce qui est protégéLe trafic et l'identité restent chez vous, sans service tiers.
2Une autre administration échange des données
Ce que Flexway décideSon certificat client l'identifie avant tout accès à vos systèmes existants.
Ce qui est protégéChaque échange est tracé et audité, sans contenu de requête.
3Un logiciel métier publie un événement
Ce que Flexway décideLe canal doit être déclaré en AsyncAPI ; la passerelle publie sur votre courtier.
Ce qui est protégéAucun canal ouvert hors du contrat.
Usagers (portail)
Les usagers du portail public : leurs requêtes n'atteignent que ce que le contrat déclare, avec votre fournisseur d'identité.
Trajets qui passent ici
Administrations
Les autres administrations : leurs échanges passent par Flexway, authentifiés par certificat client.
Trajets qui passent ici
Logiciels métier
Les applications qui appellent vos API : chaque requête passe par Flexway, qui vérifie le contrat et l'identité avant d'atteindre vos systèmes.
Trajets qui passent ici
Fermé par défaut
Fermé par défaut : seul ce que le contrat déclare est servi ; en-tête, méthode ou origine non déclarés sont refusés.
- Décision
- seul le contrat est servi
- Fonctionnalités du catalogue
- Fermé par défaut : en-tête, paramètre, méthode ou origine non déclarés refusés ; Un contrat OpenAPI 3.1 chargé ; ce qui est servi en est déduit
Trajets qui passent ici
Votre fournisseur OIDC
Vos jetons OIDC, de plusieurs émetteurs à la fois, sont vérifiés par Flexway : signature, émetteur, audience.
- Décision
- plusieurs émetteurs à la fois
- Fonctionnalités du catalogue
- iss et aud vérifiés ; plusieurs émetteurs dans une même configuration ; Validation JWT, clés JWKS en cache avec rotation
Trajets qui passent ici
Certificat client
Le certificat client (mTLS) identifie chaque partenaire et le lie à son tenant, transmis prouvé à vos services.
- Décision
- échanges entre administrations
- Fonctionnalités du catalogue
- Clés d'API et mTLS client comme identités de premier plan
Trajets qui passent ici
Canal AsyncAPI déclaré
Le canal doit être déclaré dans le contrat AsyncAPI ; un canal non déclaré est refusé avant toute publication.
- Décision
- publié sur AMQP ou MQTT
- Fonctionnalités du catalogue
- AsyncAPI comme source du plan asynchrone ; AMQP(S) et MQTT
Trajets qui passent ici
Audit et traces
Chaque décision d'autorisation est journalisée dans un audit chaîné et vérifiable, sans contenu de requête.
- Décision
- sans backend externe
- Fonctionnalités du catalogue
- Journal d'audit chaîné des décisions d'autorisation ; Traces W3C propagées de bout en bout
Services métier
Vos services REST et gRPC : ils ne reçoivent que les requêtes que Flexway a laissées passer, sous délai et coupe-circuit.
Trajets qui passent ici
Systèmes existants
Vos systèmes existants : un service gRPC devient appelable en REST, sans réécriture, par les descripteurs Protobuf.
Trajets qui passent ici
Courtier AMQP, MQTT
Vos courtiers Kafka, AMQP, MQTT et NATS : Flexway y publie sous contrat AsyncAPI, en enveloppe CloudEvents.
- Fonctionnalités du catalogue
- AMQP(S) et MQTT
Trajets qui passent ici
Ce que le secteur exige
- SouverainetéVotre trafic reste chez vous
- Flexway s'exécute dans votre infrastructure ; sa configuration se valide hors ligne et se recharge sans interruption.
- Standards ouvertsRien de propriétaire dans vos contrats
- OpenAPI et AsyncAPI pour la configuration, OIDC pour l'identité, OpenTelemetry pour les traces, RFC 9457 pour les erreurs.
- NIS2Traçabilité et détection
- Audit chaîné des décisions, console en lecture, alertes et traces sans backend externe.
- IdentitéVotre fournisseur d'identité, pas le nôtre
- N'importe quel fournisseur OIDC, plusieurs à la fois ; certificats clients pour les échanges entre services.
Comment Flexway y répond
Votre trafic reste chez vous
- Un contrat OpenAPI 3.1 chargé ; ce qui est servi en est déduitLivré · v0.1.0
- Rechargement à chaud par instantané immuable, sans requête perdueLivré · v0.1.0
Rien de propriétaire dans vos contrats
- iss et aud vérifiés ; plusieurs émetteurs dans une même configurationLivré · v0.1.0
- AMQP(S) et MQTTLivré · v1.5.0
- Webhooks sortants signés et rejouablesLivré · v1.5.0
- Alertes intégrées : seuils par amont ou par opération, notification par webhookLivré · v1.3.0
- Traces W3C propagées de bout en boutLivré · v0.1.0
Traçabilité et détection
- Journal d'audit chaîné des décisions d'autorisationLivré · v0.1.0
- Catalogue d'API dérivé des contrats, avec cycle de vieLivré · v0.1.0
- Isolation des tenants dans la console : 403, jamais une liste videLivré · v0.1.0
Votre fournisseur d'identité, pas le nôtre
- iss et aud vérifiés ; plusieurs émetteurs dans une même configurationLivré · v0.1.0
- Clés d'API et mTLS client comme identités de premier planLivré · v0.1.0
- Échange de jeton RFC 8693 : sujet humain, acteur agentLivré · v0.1.0
État dans la dernière version publiée de Flexway ; une fonctionnalité n'est marquée livrée qu'avec sa version.
Ce que Flexway ne fait pas
- Flexway n'est, à ce jour, qualifié par aucun organisme de certification.
- Le paquet pour réseau isolé fait partie de l'offre Enterprise, encore à construire.
Parlons de votre passerelle
Flexwiz est une jeune entreprise : vous parlez directement avec la personne qui la fonde. Dites-nous ce que vous voulez faire passer par Flexway. Nous parlons de votre infrastructure et de vos exigences de souveraineté numérique.
La prise de rendez-vous en ligne arrive bientôt ; d'ici là, un e-mail suffit.