La sécurité n'est pas une couche ajoutée à la fin.
« Par construction » veut dire quelque chose de précis : les protections décrites ici ne sont pas des options de configuration qu'un paramétrage pourrait éteindre, ni des promesses vagues. Ce sont des propriétés du code et du modèle de données, tenues par des contrôles automatiques à chaque livraison.
Six plans, indépendants les uns des autres. Chacun suppose que les autres peuvent céder : c'est la seule façon d'obtenir qu'une faille reste une faille, et ne devienne pas une fuite.
Chaque teneur de compte est une muraille étanche. Son identifiant est présent dans le contexte de sécurité, dans les données, dans les événements et dans les traces — jamais déduit d'un simple paramètre envoyé par le client.
Le plan où se jouent la plupart des incidents réels du secteur : rarement une intrusion spectaculaire, presque toujours quelqu'un qui accède à une donnée qui ne relevait pas de son périmètre.
C'est aussi celui où une liste de profils utilisateurs ne suffit pas — la section suivante lui est consacrée.
Le RGPD est traité à la conception, pas en rattrapage : chaque service ne reçoit que ce que sa finalité exige, et les interfaces exposent des vues dédiées à chaque usage — jamais l'entité interne recopiée telle quelle.
Un export n'est pas une consultation en plus gros : il demande une permission distincte, une finalité déclarée, un périmètre borné et laisse sa trace.
Chaque accès à une opération protégée laisse deux faits corrélés : la décision (ce qui a été demandé, le verdict, la règle qui l'a fondé) et l'accès réellement effectué. Un refus laisse donc une décision sans accès.
Le journal est en ajout seul, horodaté, protégé contre l'altération et cloisonné par client. Et la preuve contraint : pour une action sensible, ne pas pouvoir la constituer entraîne un refus.
Une plateforme n'est pas plus sûre que la façon dont elle est produite. Chaque modification passe des tests automatiques et des contrôles exécutés à chaque livraison — dont la recherche de secrets déposés par erreur dans le code.
Les règles réglementaires sont versionnées comme le code, et chaque loi de finances arrive avec son banc de tests.
En Europe, opéré par nos soins — ou dans votre propre infrastructure si vos exigences le demandent. La plateforme est conçue pour ne dépendre d'aucun service propre à un fournisseur de cloud : ce qui rend ce choix réel plutôt que théorique.
C'est le plan le plus souvent traité à l'économie. La plupart des systèmes s'arrêtent à une liste de profils utilisateurs : « gestionnaire », « superviseur », « lecture seule ». Un profil dit ce qu'une personne sait faire — il ne dit jamais sur quoi elle a le droit de le faire, ni quand. Toute la difficulté est là.
Un rôle confère une capacité métier ; une relation détermine le périmètre sur lequel elle s'exerce ; les attributs de la situation déterminent si l'action est permise maintenant.
Quelle capacité métier ?
Gestionnaire d'entreprises, analyste conformité, comptable. Peu nombreux, stables, et jamais porteurs d'un nom d'entreprise ou d'un numéro de portefeuille.
Sur quel périmètre réel ?
Le portefeuille que gère votre équipe, le dossier qui vous est affecté, le compte que l'épargnant détient. Un dossier clos ou réaffecté retire le périmètre qu'il ouvrait.
Dans quelles conditions, maintenant ?
Le montant, l'état du dossier, la sensibilité de la donnée, la validité d'une délégation, l'incompatibilité avec une tâche déjà accomplie par la même personne.
Les trois se composent : la capacité doit être présente, et la relation de périmètre satisfaite, et les conditions réunies. Le contrôle se place au niveau de l'opération métier, avant toute lecture ou écriture, et il porte sur la ressource précise visée — pas seulement sur le droit d'appeler la fonction.
Le refus est le comportement par défaut : une permission absente, une relation introuvable, un contexte incohérent produisent un refus. Et certaines actions ne peuvent pas être accomplies seul — préparer et valider un paiement, saisir et approuver une écriture sensible, modifier une habilitation et l'approuver.
Enfin, une séparation qui compte plus que toutes les autres dans ce métier : le salarié appartient à une entreprise, l'épargnant existe à l'échelle du teneur de compte et détient des avoirs venus de plusieurs employeurs, parfois anciens. Un droit sur l'entreprise n'ouvre jamais le patrimoine de l'épargnant correspondant. Un responsable des ressources humaines suit l'état d'un traitement de participation sans voir les versements volontaires, les arbitrages ni les coordonnées bancaires de la personne.
Une liste de garanties ne coûte rien à écrire. Une liste de raccourcis qu'on refuse de prendre engage davantage — chacun de ceux-ci est courant dans le secteur.