L'architecture est la réponse. Vos prompts ne quittent pas votre bâtiment, notre plan de contrôle ne voit pas vos données, et chaque requête est signée Merkle. Voici comment.
Chaque appliance est livrée avec un chiffrement disque LUKS2 lié au TPM, un mot de passe BIOS scellé et un noyau signé. Le bootloader refuse de charger un initramfs non signé ; le système de fichiers racine est vérifié à chaque démarrage.
Debian stable avec une empreinte de paquets minimale. Les services tournent sous des utilisateurs dédiés, confinés par systemd (NoNewPrivileges, ProtectSystem=strict, MemoryDenyWriteExecute). Le trafic sortant est filtré par IP ; le trafic entrant passe par apache2 avec mTLS depuis le gateway.
Les utilisateurs du tenant se connectent via leur propre IdP (OIDC). L'accès du personnel Operayde est séparé — pas de compte administrateur partagé, et chaque action est attribuée à un ingénieur nommé.
Les clés API virtuelles limitent l'accès par tenant, espace, famille de modèles et budget. La politique est rédigée centralement, signée, poussée vers la flotte et appliquée sur l'appliance. Il n'existe pas de clé passe-partout.
Chaque appliance hache chaque requête et réponse dans un arbre de Merkle quotidien, signe la tête avec sa clé d'enrôlement et envoie uniquement les têtes au plan central. Les corps restent en local. Vous pouvez vérifier n'importe quelle requête hors ligne.
Les mises à jour sont des manifestes signés avec des images à hash fixe. L'appliance vérifie avant d'appliquer. Roll-forward et rollback sont des opérations de 15 minutes depuis le portail opérateur.
Passez 20 minutes avec un de nos ingénieurs déploiement. Nous étudions votre charge de travail, choisissons le bon palier et livrons une appliance dans vos locaux sous deux semaines.