La sécurité, dite simplement.
Renio existe pour une seule raison : vos clés d’IA ne devraient jamais traîner dans du code, des .env partagés ou des logs. Voici, sans jargon, les protections construites dans le produit.
Vos vraies clés
Chiffrées dès l’entrée, jamais relisibles
Votre clé fournisseur est chiffrée (AES-256-GCM, une clé de chiffrement par client) à l’instant où elle arrive. En clair, elle ne vit qu’en mémoire, le temps d’une requête — jamais écrite sur disque, jamais dans un log, jamais dans un message d’erreur. Notre base ne contient que des blocs illisibles.
Le dashboard ne peut pas les rouvrir
Par construction, l’interface est « write-only » : on peut déposer ou remplacer une clé, jamais la relire. Même une requête interne ne renvoie jamais votre clé en clair — cette porte n’existe pas dans le code.
La clé du coffre est gérée séparément
Le chiffrement s’appuie sur une clé maîtresse gérée par un service dédié (KMS), avec journal d’audit. Un attaquant qui copierait toute notre base n’obtiendrait rien d’exploitable sans cette clé, qui est ailleurs.
La suppression des clés
Supprimer une connexion retire son secret de la base active. Les sauvegardes suivent leur propre durée de conservation : cette suppression ne garantit pas l’effacement immédiat d’une copie antérieure. Révoquez aussi la clé chez son fournisseur pour invalider toute ancienne copie.
Vos accès Renio (clés re_)
Affichés une seule fois
Le secret complet d’un accès ne s’affiche qu’à sa création. Ensuite, nous n’en gardons qu’une empreinte (hash SHA-256) plus le préfixe et les 4 derniers caractères — de quoi le reconnaître, jamais de quoi le reconstituer.
Une révocation définitive
Un accès coupé ne peut jamais être réaccepté. Si son secret refait surface dans un an, la porte reste fermée — son empreinte reste bannie.
Vos conversations
Un compteur, pas un magnétophone
Le relais mesure : horodatage, fournisseur, modèle, tokens, coût, durée, statut. Il ne stocke ni vos prompts, ni les réponses de vos modèles.
Ni IP, ni contenu d’URL dans le journal des appels
Le journal des appels du relais ne contient aucune adresse IP ni aucun chemin de requête — uniquement les métadonnées de facturation ci-dessus. Les prestataires d’infrastructure peuvent traiter des données de connexion selon leurs propres politiques.
Le contrôle
La coupure, en quelques secondes
Révoquez un accès : c’est définitif et effectif chez tous les fournisseurs en moins de cinq secondes — les requêtes déjà en cours d’une clé révoquée sont aussi interrompues. Votre vraie clé n’a jamais bougé du coffre.
Les plafonds coupent d’eux-mêmes
Chaque appel réserve un montant avant de partir ; les nouveaux appels sont refusés quand le plafond disponible est atteint. Le coût final du fournisseur peut différer de l’estimation. Les requêtes dont le coût ne peut pas être estimé sont refusées pour un accès plafonné. Les appels déjà transmis peuvent rester facturés, même si leur flux est interrompu. Si le compteur de budget est indisponible, les nouveaux appels contrôlés sont refusés. Les enveloppes totales ne se renouvellent pas ; les budgets mensuels ou journaliers se renouvellent à leur prochaine période. Alertes email à 80 % et 100 %.
L’infrastructure, et notre propre discipline
Infrastructure en Europe
Le relais, la base et le KMS sont déployés dans l’Union européenne. Les fournisseurs IA traitent ensuite vos requêtes selon leurs propres régions et conditions.
Des destinations fixes
Les hôtes fournisseurs sont définis par les adaptateurs. Les redirections et les substitutions d’hôtes par configuration de test sont refusées en production.
Des accès traçables
Les déchiffrements sont comptés par le relais. Scaleway Audit Trail trace la gestion des clés, sans garantir un événement natif pour chaque déchiffrement. Les alertes d’exploitation sont configurées séparément.
Anti-fuite de secrets
Scan automatique à chaque commit et en intégration continue : un secret collé par erreur fait échouer la chaîne avant d’être publié.
Chaîne d’approvisionnement minimale
Le cœur critique tourne sur la bibliothèque standard ; chaque dépendance ajoutée est justifiée et épinglée, scannée pour ses vulnérabilités.
Des accès distincts
Le relais utilise un rôle Postgres dédié. Son identité KMS peut déchiffrer les clés du coffre sans administrer la clé maîtresse.
Vos comptes fournisseurs restent les vôtres. En cas de panne de Renio, vous pouvez reconfigurer vos applications pour appeler directement leurs fournisseurs. Ces appels directs ne bénéficient alors plus des contrôles ni du relevé Renio.