Concepts

Clés de chiffrement

Comprendre comment MAFATE gère les clés de chiffrement, l'isolation des données et les stratégies de rotation.

Pourquoi plusieurs clés ?

MAFATE vous permet de créer plusieurs clés de chiffrement, chacune portant un nom métier que vous choisissez. Cette découpe isole les données par contexte, utilisateurs, paiements, documents, et limite ce qu’une compromission peut atteindre. ⚠️ Le nom est une étiquette : les appels d’API passent par l’UUID rendu à la création.

Isolation

Un compromis sur une clé n'affecte pas les autres contextes de données.

Rotation ciblée

Tournez uniquement les clés qui en ont besoin, sans impact global.

Audit granulaire

Voyez exactement quelle clé a été utilisée pour chaque opération.

Structure d'une clé

Chaque clé MAFATE possède un identifiant unique, un état, et une version courante. Les versions antérieures restent disponibles pour le déchiffrement des données anciennes.

Champ	Type	Description
id	uuid	Identifiant rendu par le serveur à la création. C’est lui qui s’écrit dans les chemins et dans key_id.
name	string	Étiquette lisible que vous choisissez (ex : production-users), unique par locataire. Elle ne résout aucune route.
status	enum	active \| rotating \| disabled
current_version	integer	Version courante de la clé, incrémentée à chaque rotation
algorithm	string	AES-256-GCM
created_at	datetime	Date de création
last_rotated_at	datetime \| null	Dernière rotation effectuée
rotation_interval_days	integer \| null	Jours entre rotations automatiques. 90 par défaut à la création.

Exemples d'organisation

Exemples de nommage recommandés selon votre domaine métier :

// E-commerce
production-customer-pii     // Données personnelles clients
production-payment-data     // Données de paiement
production-order-history    // Historique des commandes

// Santé
phi-patient-records         // Dossiers patients (données de santé)
phi-lab-results             // Résultats de laboratoire
admin-staff-data            // Données du personnel

// Finance
pci-card-numbers            // Numéros de carte (PCI-DSS)
banking-account-data        // Données bancaires

Bonnes pratiques

Créez une clé par contexte de données sensible, jamais une clé universelle.
Activez la rotation automatique pour les données hautement sensibles (ex: tous les 90 jours).
Nommez vos clés avec un préfixe d'environnement (production-, staging-) pour éviter les erreurs.
Ne stockez jamais le clair en base : stockez l’objet scellé ENTIER, ses six champs (ciphertext, wrapped_key, iv, key_id, key_version, envelope_version). En omettre un seul rend la donnée définitivement indéchiffrable.
Testez le déchiffrement après chaque rotation pour vous assurer que les données existantes restent accessibles.

En savoir plus sur la rotation