KNOWLEDGE-BASE
Notes techniques & réponses d'architecture.
INFRASTRUCTURE & CYBER-RÉSILIENCE
Silo CISO — Cryptographie, Isolation & Vigilance Active.
CLOISONNEMENT PHYSIQUE & LOGIQUE. Contrairement aux architectures SaaS mutualisées (Multi-Tenant), CEREBRO déploie une infrastructure dédiée pour chaque client institutionnel.
Infrastructure : 1 VPS dédié + 1 Instance PostgreSQL dédiée + 1 Namespace Vault dédié.
Réseau : Isolation par VLAN privé.
Garantie : Élimination structurelle des vecteurs de fuite latérale (Side-Channel) et de corruption inter-instances.
GESTION DES SECRETS & CRYPTOGRAPHIE ÉPHÉMÈRE. Nous appliquons le standard AES-256-GCM pour toutes les données au repos.
Gestion : Les clés ne sont jamais stockées sur le disque. Elles résident uniquement en mémoire volatile, injectées dynamiquement par HashiCorp Vault.
Rotation : Rotation dynamique des secrets applicatifs (TTL < 15 min).
Break-Glass : Nos ingénieurs n'ont aucun accès "par défaut". Toute intervention nécessite une élévation de privilèges tracée et auditée.
RÉSILIENCE OPÉRATIONNELLE (CADRE DORA). Notre stratégie de sauvegarde suit la règle du 3-2-1 avec une protection spécifique anti-ransomware.
RPO < 5 min : Archivage continu (WAL) et Point-in-Time Recovery (PITR).
RTO < 30 min : Orchestration via Infrastructure as Code (IaC).
Les sauvegardes sont stockées sur un stockage objet immuable (WORM) et chiffrées avec une clé distincte de la production.
GOUVERNANCE ZERO-TRUST & mTLS. CEREBRO ne fait confiance à aucun utilisateur, ni aucun réseau, même interne.
Identité : L'accès au cockpit requiert une authentification MFA forte.
Réseau : Toutes les communications entre micro-services (ex: API vers IA) sont mutuellement authentifiées (mTLS).
Cloisonnement : Un compromis sur un module (ex: Email Gateway) ne permet pas de mouvement latéral vers le cœur du système (ex: Base de données), grâce à une ségrégation stricte des privilèges.
NON. SOUVERAINETÉ EUROPÉENNE GARANTIE. Instances privées isolées (Azure France Central) : Étanchéité totale vis-à-vis des modèles publics.
Juridiction : Vos données ne transitent jamais par les serveurs publics d'OpenAI aux USA. Elles restent sous juridiction européenne (RGPD / Schrems II).
Confidentialité : Microsoft s'engage contractuellement à ce que vos données ne soient jamais utilisées pour l'entraînement des modèles de fondation (No Training Policy).
SURVEILLANCE & THREAT HUNTING (SOC-READY). L'infrastructure est surveillée en temps réel par une stack de sécurité offensive.
Analyse Comportementale : Les agents Wazuh scannent les logs systèmes pour détecter les anomalies.
Réponse Automatique : Le système Fail2ban bannit immédiatement toute IP tentant des actions suspectes (Bruteforce, Scan de ports).
Intégrité : Un moniteur d'intégrité des fichiers (FIM) alerte instantanément si un fichier critique du système est modifié.
EVIDENCE LAYER : INTÉGRITÉ DES TRACES (WORM). Toutes les actions critiques (Validation CCO, Rejet Analyste, Connexion) sont loguées dans un registre inviolable.
Technologie : Write Once, Read Many. Une fois écrit, un log ne peut être ni modifié ni supprimé.
Conformité : Cette architecture garantit la valeur probante des traces en cas d'audit réglementaire (ACPR/AMF) ou d'investigation post-incident.
INGÉNIERIE & INTERCEPTION SMTP
Silo DevOps — Performance Temps-Réel & Résilience Native.
INTERCEPTION DEEP-LINK (IN-LINE). CEREBRO ne fonctionne pas par "Polling" API (trop lent). Nous agissons comme un nœud SMTP transparent intercalé dans le flux sortant via les Connecteurs Exchange/Workspace.
Latence : Latence P95 < 200ms. L'analyse IA Triple-Engine est optimisée pour une exécution quasi-instantanée sans friction métier.
Délivrabilité : Zéro impact sur votre réputation IP. CEREBRO relaye les emails approuvés vers votre serveur d'origine (M365/Google) qui effectue l'envoi final. Vos signatures DKIM, SPF et DMARC sont préservées intactes.
RÉSILIENCE CRITIQUE : FAIL-OPEN NATIF. Votre business ne doit jamais s'arrêter. Nous exploitons les mécanismes de résilience natifs des Règles de Transport (Exchange/Google).
Mécanisme : Architecture Fail-Safe : Si une latence > 3s est détectée, le flux est libéré instantanément pour garantir la continuité du business.
Résultat : Le flux email "bypasse" CEREBRO et sort directement. Aucun email n'est jamais perdu ou bloqué par une défaillance de notre infrastructure (Conformité DORA).
DÉPLOIEMENT ZÉRO-INGÉRENCE (SERVER-TO-SERVER). L'intégration est totalement transparente pour les utilisateurs finaux.
Zéro Plugin : Pas d'Add-in Outlook ou d'extension Chrome à déployer et maintenir.
Compatibilité : Fonctionne nativement sur Mobile, Web et Desktop.
Méthode : Configuration centralisée via les "Outbound Connectors" et "Transport Rules" de votre tenant Microsoft 365 ou Google Workspace. Une documentation technique détaillée est fournie à votre DSI (Est. charge IT : 5 jours), de plus vous êtes accompagné tout au long du processus d'intégration par un de nos experts.
ZÉRO ÉPUISEMENT DES QUOTAS API. C'est une distinction majeure de notre architecture.
CRM : Consommation Streaming : Authentification JWT Bearer via gRPC Pub/Sub (Salesforce Event Relay).
Email : Le routage SMTP ne consomme aucun quota d'appel Graph API.
Gain : Vous pouvez déployer CEREBRO à grande échelle sans craindre de "briques" vos autres intégrations critiques.
OBSERVABILITÉ SOC-READY. Oui. CEREBRO est conçu pour s'intégrer à votre SOC (Security Operations Center).
Logs : Tous les événements de sécurité (blocages, tentatives de fraude, accès) sont exportables via API ou Webhooks sécurisés.
Format : JSON structuré standardisé, prêt pour l'ingestion par vos outils de monitoring existants.
GOUVERNANCE & CONFORMITÉ RÉGLEMENTAIRE
Silo DPO/CCO — Souveraineté, Résilience DORA & Intégrité des Preuves.
IMMUNITÉ JURIDIQUE & RÉSIDENCE DES DONNÉES. L'intégralité des données (Bases de données, Logs, Backups) est hébergée en France (Région Gravelines/Roubaix) sur des infrastructures OVHcloud certifiées ISO 27001 et HDS.
Immunité Juridique : En tant que société de droit français hébergée en France, vos données ne sont pas soumises aux lois extraterritoriales américaines (Cloud Act).
Isolation : Architecture Single-Tenant stricte (1 VPS dédié par client). Aucune mutualisation de stockage avec d'autres entités.
CADRE DORA : RÉSILIENCE OPÉRATIONNELLE. CEREBRO est conçu nativement pour répondre aux piliers du règlement DORA :
Continuité (Fail-Open) : Notre architecture SMTP garantit qu'en cas de panne critique, le flux email n'est jamais bloqué (Bypass automatique).
Tests de Résilience : RTO < 30 min / RPO < 5 min : Résilience active testée mensuellement.
Gestion des Tiers : Nous fournissons une transparence totale sur notre chaîne de sous-traitance (Software Supply Chain).
EVIDENCE LAYER : INTÉGRITÉ PROBANTE (WORM). Pour répondre aux exigences LCB-FT (Lutte Contre le Blanchiment), nous assurons l'intégrité absolue des traces.
Technologie : Stockage WORM (Write Once, Read Many). Une trace d'audit (ex: validation d'un email suspect) est scellée cryptographiquement et devient inaltérable.
Rétention : Paramétrable selon votre politique interne (Standard : 2 ans minimum, extensible à 5 ou 10 ans pour l'archivage légal).
RÉVERSIBILITÉ & PROTOCOLE CRYPTO-SHREDDING. Nous garantissons que vous ne serez jamais captif de la solution (Vendor Lock-in).
Export : Sur demande, extraction complète de vos données (Logs, Décisions, Métadonnées) aux formats standards ouverts (JSON, CSV, SQL).
Destruction : À l'issue du contrat, nous procédons à un Crypto-Shredding : la destruction des clés de chiffrement de votre Vault dédié rend instantanément toutes vos données mathématiquement irrécupérables, suivie d'un effacement sécurisé des disques (shred).
GOUVERNANCE DES SECRETS (VAULT-AS-A-SERVICE). Aucun secret n'est stocké en dur dans le code ou les variables d'environnement. Nous utilisons HashiCorp Vault avec une authentification stricte par AppRole.
Rotation : Rotation dynamique (TTL < 15 min) : Injection de secrets éphémères.
Isolation : En cas de compromission d'un service, le rayon d'impact est nul car les secrets ne sont valides que pour un contexte précis.
DÉFENSE ACTIVE MULTI-COUCHES. L'infrastructure est protégée par une stack de sécurité offensive en temps réel.
Niveau Réseau : Filtrage UFW strict (Deny All par défaut) et protection Cloudflare.
Niveau Applicatif : Middleware de Rate Limiting avancé (Sliding Window) avec fingerprinting SHA-256 pour bloquer les abus API.
Réponse Automatique : Le système Fail2ban bannit immédiatement toute IP tentant des actions suspectes (6 jails actifs).
RÈGLE DU 3-2-1 & CHIFFREMENT ASYMÉTRIQUE. Nous appliquons la règle d'or de la sauvegarde pour garantir la résilience des données.
3 Copies : Production + Backup Local + Backup Off-site.
2 Supports : Disques NVMe (Performance) + Object Storage Souverain (Archivage).
1 Site Distant : Réplication asynchrone sécurisée sur un datacenter géographiquement distinct (OVH Roubaix/Gravelines).
Sécurité : Tous les backups sont chiffrés en AES-256-GCM avant même de quitter le serveur.
GOUVERNANCE EX-ANTE & CONSENSUS ENGINE. Le taux de faux positifs est maintenu sous les 2% grâce à notre architecture Multi-Agents.
Consensus : Un email n'est bloqué que si le consensus pondéré des 6 agents dépasse un seuil critique (Score > 70).
Déblocage : En cas de doute, l'email est mis en quarantaine et une notification "Examiner" est envoyée au CCO. La libération est instantanée (One-Click) depuis le cockpit sécurisé.
CONTRÔLE D'ADHÉRENCE SÉMANTIQUE (SAC). Nous ne faisons pas confiance, nous vérifions. Le système analyse les réponses rédigées par vos commerciaux avant l'envoi.
Contrôle : Le moteur compare sémantiquement la réponse du commercial avec la recommandation de conformité de l'IA (Adherence Score).
Sanction : Enforcement Ex-Ante : Blocage immédiat du flux SMTP (Kill Switch) avant sortie réseau.