DEK (Data Encryption Key)

Une DEK (Data Encryption Key) est la clé symétrique utilisée pour chiffrer directement les données utilisateur (typiquement AES-256-GCM). Dans le modèle d'envelope encryption recommandé par le NIST, chaque blob de données reçoit sa propre DEK, elle-même chiffrée par une KEK (Key Encryption Key) de niveau supérieur. Cette séparation limite le rayon d'exposition : une DEK compromise n'expose qu'un seul fichier, sans risquer la confidentialité de l'ensemble du système. La rotation des DEK devient indépendante des KEK.