Sécurité et données

Cette page résume comment Stratta protège votre accès et vos normes. Pour les contrôles au niveau du compte, voir Gérer les clés API.

Clés API#

• Les clés ressemblent à sk_strt_… et sont créées sur Intégrations › Clés d’API.
• La clé complète n’est affichée qu’une seule fois ; seul un préfixe est conservé pour l’affichage. Sur le serveur, la clé est conservée sous forme d’empreinte salée (hash), jamais en clair.
• Une clé accorde un accès en lecture et écriture à votre espace de travail (y compris ingestion et suppression). C’est donc un secret : traitez-la comme un mot de passe.
• La révocation est immédiate. Limites : 50 clés actives et 20 nouvelles clés par tranche de 24 heures, par utilisateur.

Votre compte#

• Double authentification, facultative, dans Réglages › Profil › Sécurité : une application d’authentification (Google Authenticator, Microsoft Authenticator, 1Password…) donne un code à six chiffres demandé à chaque connexion par mot de passe, et dix codes de secours servent une fois chacun sans le téléphone. Une connexion par le compte de votre entreprise suit les règles de son annuaire.
• Appareils connectés : la liste des navigateurs où votre compte est ouvert ; fermez une session que vous ne reconnaissez pas, ou toutes les autres d’un coup. Changer de mot de passe ferme aussi les autres sessions.
• Téléphone et codes de secours perdus : écrivez à hello@stratta.ch. Après vérification par un autre canal, Stratta retire la double authentification et ferme toutes vos sessions.
• Mots de passe exposés : à l’inscription et au changement de mot de passe, Stratta refuse un mot de passe qui figure dans une fuite publique connue. La vérification passe par Have I Been Pwned sans jamais envoyer le mot de passe : seuls les cinq premiers caractères de son empreinte SHA-1 quittent le serveur.
• Liens d’invitation : Stratta ne garde que l’empreinte du lien, jamais le lien lui-même. Une copie de la base ne permet pas d’entrer dans un espace.

Isolation des organisations#

Les normes sont scopées à votre organisation. L’isolation est appliquée côté serveur :

• Chaque requête MCP est authentifiée par votre clé.
• Le serveur résout la clé en une organisation et filtre toutes les lectures et écritures par celle-ci.
• L’identifiant d’organisation n’est jamais un paramètre fourni par le client. Il est dérivé de la clé, de sorte qu’un client ne peut pas demander les données d’une autre organisation.

Voir Normes multi-tenant.

Connexion par votre annuaire (Entreprise)#

Sur un contrat Entreprise, vos collaborateurs se connectent avec le compte Microsoft 365 ou Google qu’ils ont déjà, au lieu d’un mot de passe de plus.

Ce qui protège votre domaine :

• Une preuve DNS. Vous publiez un enregistrement TXT sur _stratta-sso.<votre-domaine>. Sans lui, rien ne s’active : revendiquer un domaine sans le contrôler reviendrait à s’offrir les comptes de tous ceux qui y écrivent.
• Le bon annuaire, et lui seul. Nous n’acceptons un jeton que s’il vient de l’annuaire Microsoft qui possède réellement votre domaine. Nous le résolvons auprès de Microsoft, qui n’admet un domaine qu’après sa propre preuve DNS. Une adresse professionnelle ne prouve rien par elle-même : dans un annuaire, un administrateur écrit l’adresse qu’il veut.
• Le mot de passe, sur demande, interdit. Connexion, inscription et réinitialisation deviennent impossibles autrement que par votre annuaire.

Il n’y a pas de synchronisation d’annuaire (SCIM). Retirer quelqu’un de l’organisation dans Stratta lui coupe l’accès au corpus dès l’appel suivant, y compris pour un agent déjà connecté.

Ce qui quitte votre machine#

• Lors des requêtes, le connecteur MCP envoie votre clé API et vos arguments d’outil (par exemple un code de norme et un chemin de section) au backend Stratta, et reçoit en retour le contenu de la section.
• Lors de l’ingestion par votre agent, le PDF reste sur votre machine : le connecteur téléverse seulement le contenu de norme que vous extrayez (texte, formules, tableaux, figures) vers votre espace de travail. Ne déposez que des documents dont vous détenez les droits.
• Lors de l’ajout d’une norme depuis l’application (page Normes, « Ajouter une norme »), le PDF lui-même est téléversé. Il est traité sur le serveur de Stratta en Allemagne (UE) : reconnaissance de caractères s’il est scanné, structure et résumés, formules et tableaux transcrits par un modèle de langage, puis contrôlés contre l’image de leur page par un second modèle, avant relecture par une personne de Stratta. Les modèles sont joints par OpenRouter : chaque appel exige un fournisseur à zéro rétention (zdr) qui ne collecte pas les données (data_collection: deny), et le point d’accès propre de DeepSeek est exclu. Le PDF est supprimé dès que la norme est livrée, refusée ou retirée ; le texte reste dans le corpus de votre organisation, lisible par elle seule.
• Lors de la lecture d’un profil de sondage (bouton « Lire le profil PDF » de la fiche de site, ou « Lire un sondage dans ce document » sur une pièce du dossier), la page du PDF part, en image, chez OpenRouter pour être lue par un modèle de vision, avec les mêmes exigences de zéro rétention et de non-collecte. Rien d’autre du dossier ne l’accompagne.
• Avec un connecteur distant (https://stratta.ch/mcp), il n’y a pas de clé API : c’est le service qui héberge l’agent qui détient un jeton OAuth. S’il demande la permission email, ce que ChatGPT fait par défaut, ce service peut lire l’adresse de votre compte et savoir si elle est vérifiée. C’est ce qui permet à un espace de travail d’entreprise de rattacher le connecteur à son domaine. L’écran d’autorisation l’annonce avant que vous validiez, et les réponses des outils ne transportent jamais l’adresse.

Ce que votre organisation dépose, et qui le voit#

Les rapports Word que vous déposez sur la page Méthodes pour en apprendre le plan, les méthodes que vous écrivez, les livrables et leurs sections, les lectures journalisées et les réponses reçues par un lien de lecture suivent le même régime que les pièces d’un dossier : ils portent l’identifiant de votre organisation et ne sont lisibles que par ses membres. Un rapport signé, souvent confidentiel, ne sort pas de votre espace ; le fichier ne sert qu’à deux choses, apprendre le plan et servir de mise en page à vos exports Word, et il part avec le plan quand vous le supprimez.

Une seule donnée est partagée entre organisations : la lecture des profils de sondage publics genevois (boreholeProfiles). Le profil est une donnée cantonale ouverte, sa lecture par un modèle coûte la même chose à chaque bureau, et elle ne dit rien de vous : elle est mise en commun. Un sondage d’archive lu depuis une pièce de votre dossier, lui, reste à votre organisation.

Localisation des données#

Le backend Stratta (Convex) et la plateforme web (Vercel) tournent sur une infrastructure située aux États-Unis, et les emails transactionnels sont envoyés via Resend. Les détails et vos droits sont décrits dans la politique de confidentialité.

Transport#

• Connecteur distant : votre agent parle en HTTPS à stratta.ch/mcp, avec un jeton d’accès OAuth 2.1 valable une heure et renouvelé tout seul. L’échange suit PKCE S256 et le code d’autorisation ne sert qu’une fois. Vous voyez et retirez les agents autorisés depuis Intégrations, dans votre espace.
• Serveur local : le connecteur communique avec votre client via stdio, et avec le backend en HTTPS vers *.convex.cloud. Le HTTPS sortant doit être autorisé par votre pare-feu ou VPN (voir Dépannage). Sa clé API vit jusqu’à ce que vous la révoquiez.
• Dans les deux cas, l’appartenance à l’organisation est relue à chaque appel : retirer quelqu’un de l’organisation coupe son agent au premier appel suivant, sans qu’aucun jeton ni aucune clé n’ait à être révoqué à la main.

Pour aller plus loin#