# Modèle de sécurité

> Ce que Fransys protège par défaut, ce que vous réglez vous-même, et le sas entre votre agent et votre infrastructure.

Source : https://docs.fransys.cloud/securite/modele-de-securite/ Vérifié sur la console le 2026-10-23.

## Par défaut, sans rien régler

- **HTTPS partout** : chaque adresse publique a son certificat, généré et renouvelé tout seul, pour l'adresse en `fransysapp.com` comme pour vos domaines.
- **Services internes** : un service sans accès depuis Internet n'est joignable que par les services de son projet. Les bases de données n'ont pas d'adresse publique tant que vous n'activez pas l'accès à distance.
- **Projets isolés** : les services d'un projet ne voient pas ceux des autres projets du même cluster ; ils ne communiquent que par les liaisons que vous tracez.
- **Identifiants générés** : les mots de passe des bases sont créés par Fransys et transmis aux services reliés par leurs variables. Pas de mot de passe par défaut.
- **Retour arrière automatique** : un déploiement qui échoue est annulé, la version précédente reste en ligne.

## Les secrets

- **Variables protégées** : la valeur est chiffrée et illisible ensuite, même pour vous. Elle n'apparaît ni dans l'export `.env`, ni dans les plans (elle y est masquée).
- **Registre privé** : le mot de passe du registre est chiffré, comme une variable protégée.
- **Comptes cloud** : Fransys vérifie la clé auprès de l'hébergeur, puis ne l'affiche plus jamais.
- **Paiement** : la carte ou le compte bancaire se saisit chez Stripe ; Fransys ne voit jamais les numéros.

## Les agents passent par un sas

- Une clé d'agent ne donne que des droits de lecture.
- L'agent prépare des plans ; il n'a aucun outil pour les valider ou les exécuter. Une personne de l'équipe valide chaque plan dans la console.
- Le journal garde qui a fait quoi, personne ou clé d'agent.
- Retirer une clé coupe l'accès de l'agent tout de suite.

Voir [Ce qu'un agent peut faire](https://docs.fransys.cloud/agents/ce-qu-un-agent-peut-faire/).

## Ce que vous pouvez durcir

Dans le panneau d'une application, onglets **Sécurité** et **Avancé** :
- **Exécuter sans root**, avec l'**Utilisateur d'exécution** et le **Groupe d'exécution** ;
- **Autoriser l'élévation de privilèges** : coupez-la si votre application n'en a pas besoin ;
- **Retirer les capacités Linux** ;
- le **Profil seccomp** ;
- le **Compte de service Kubernetes** et ses règles, si votre application parle à l'API Kubernetes.

## Ce qui reste à votre charge

- Pas de secret dans le code ni dans l'image : passez par les variables protégées.
- L'accès à distance d'une base ouvert seulement le temps nécessaire.
- La double authentification sur votre compte. Voir [Sécurité du compte](https://docs.fransys.cloud/compte/securite-du-compte/).
- Des clés d'agent nommées, une par agent ou par personne, retirées quand elles ne servent plus.