Clés : managed ou souveraine

Chiffré sur votre serveur

Tout ce que l'agent envoie est chiffré sur votre serveur (AES-256-GCM) avant de partir. Le partenaire de stockage ne voit que des blocs chiffrés ; Zekura voit des métadonnées (combien, quand, quel instantané) mais aucun contenu. Le mot de passe du dépôt chiffré est dérivé d'une clé client de 32 octets, jamais l'inverse.

Deux modèles

À la création d'une destination, vous choisissez qui détient cette clé client :

	Managed (par défaut)	Souveraine
Où la clé est générée	dans le portail	dans votre navigateur, et elle ne le quitte pas
Ce que Zekura conserve	une copie verrouillée plus l'empreinte	uniquement l'empreinte
Ce que vous recevez	la clé en 5 parts (3 nécessaires), visible sous Premiers pas jusqu'à confirmation	la clé (hex) plus 5 parts, affichées une seule fois
Zekura peut-il restaurer si vous avez tout perdu	oui	non, jamais, et vous le signez
Ce que vous devez faire sur chaque serveur	rien	définir la clé sur chaque agent, vérificateur et worker
Vérification et maintenance	par les vérificateurs et workers de Zekura	uniquement par vos propres vérificateurs et workers

Managed, c'est pour qui veut la tranquillité : vous n'êtes jamais bloqué. Souveraine, c'est pour qui a l'obligation contractuelle que personne hors de l'organisation ne puisse jamais déchiffrer.

Les cinq parts

Les parts sont des morceaux de la clé selon le schéma de Shamir : avec trois parts quelconques, la clé se reconstitue entièrement ; avec deux, vous ne savez littéralement rien. Conservez-les à cinq endroits : deux personnes, un coffre, un gestionnaire de mots de passe, du papier. Le portail les affiche exactement une fois et vous demande de confirmer qu'elles sont conservées. Cette confirmation entre dans la chaîne ; sans confirmation, vous recevez un avertissement après une semaine.

Le test d'escrow

Une clé que vous n'avez pas testée est une clé que vous n'avez pas. Une fois par an, ou quand vous voulez via Paramètres → Stockage → test d'escrow, vous saisissez trois parts. Zekura reconstruit la clé en mémoire, compare l'empreinte et la jette. Réussi ou non, c'est inscrit dans la chaîne. Après un an sans test, vous recevez un rappel.

Restaurer sans Zekura

Installez l'agent sur une machine propre, définissez la clé avec vos trois parts (l'empreinte doit correspondre), et l'agent peut se connecter avec les identifiants du bucket et restaurer. Nous n'avons pas besoin d'exister pour cela. C'est voulu.

Les signatures sous la chaîne

Les enregistrements de la chaîne de preuve sont signés avec la clé Ed25519 de la plateforme. Cette clé fait l'objet d'une rotation ; chaque enregistrement porte l'identifiant de la clé qui l'a signé, et l'export contient toutes les clés publiques. Les anciens enregistrements restent vérifiables pour toujours.