docs/60-administration/20-securite.md —
ce document se lit aussi dans le dépôt, sans serveur.
Sécurité — caviardage et purges
Où : Administration → Sécurité.
À quoi ça sert
Protéger les clients. C'est la seule raison d'être de cet écran.
Deux données sensibles transitent par Darsy :
- Les numéros de clé — avec un numéro, n'importe qui peut faire refaire la clé de quelqu'un d'autre. C'est la donnée la plus dangereuse de tout le système.
- Les pièces d'identité et justificatifs de domicile déposés par les clients professionnels pour une clé protégée.
On les garde le temps nécessaire, puis on les efface.
Caviarder les numéros de clé
Passé 30 jours, une commande n'a plus besoin de porter son numéro : la clé est faite, livrée. L'écran liste les commandes concernées, on regarde, on caviarde.
Le numéro est remplacé par un marqueur *redacted* dans les options de la ligne. La commande reste entière — on voit qu'elle portait un numéro, on ne voit plus lequel.
Révéler est possible ponctuellement, et c'est journalisé : qui, quand, quelle commande. C'est une action qu'on doit pouvoir expliquer.
Restaurer existe aussi : le caviardage est réversible tant que la sauvegarde d'origine est là.
Purger les documents Pro
Les pièces d'identité et justificatifs déposés via l'application Pro se purgent après 60 jours.
Une pièce peut être mise sous réserve depuis la fiche de la commande : elle échappe alors à la purge. C'est pour les litiges — pendant un litige, c'est précisément le moment où la preuve compte, et pour une clé protégée le justificatif est le contrôle réglementaire.
Les règles
Rien n'est automatique, et c'est une décision
Il n'y a aucune tâche planifiée qui caviarde ou purge. Ces gestes se font à la main, une fois par mois, avec un aperçu avant effacement.
« C'est de la donnée sensible, et une automatisation sans validation, ça craint. Une fois par mois, c'est mon travail. » — François, 20/09/2026.
Un repreneur doit le savoir : si personne ne le fait, personne ne le fera à sa place.
Le caviardage est réversible, la purge ne l'est pas
Un numéro caviardé peut être restauré. Un fichier purgé est parti.
Révéler un numéro laisse une trace
Toujours. C'est ce qui rend l'action acceptable.
Le calendrier
| Geste | Fréquence | Délai |
|---|---|---|
| Caviarder les numéros de clé | Mensuelle | Commandes de plus de 30 jours |
| Purger les documents Pro | Mensuelle | Pièces de plus de 60 jours, hors réserve |
Qui a le droit de quoi
| Action | Qui |
|---|---|
| Voir la liste, prévisualiser | Module orders, lecture — voir ce qu'il y a à caviarder est un geste d'atelier |
| Caviarder | Administrateur |
| Révéler, restaurer | Administrateur, et limités à 10 par minute |
Révéler est la seule lecture de tout Darsy qui soit à la fois réservée aux administrateurs, limitée en fréquence et journalisée. Les trois ensemble, pour une raison : c'est la donnée avec laquelle on peut ouvrir la porte de quelqu'un.
Les pièges connus
Une copie de la liste des champs sensibles avait divergé
Quatre champs manquaient — « Carte », « Numéro de CS », « Numéro de plan », « Numéro de la ligne ».
La liste est désormais référencée, pas recopiée : Woo\ChampsCle emprunte celle de KeyRedactor, de sorte qu'un champ connu de l'un est connu de l'autre par construction.
Un numéro déjà caviardé ne force plus rien
Une ligne portant *redacted* n'est plus traitée comme « sur mesure » par le stock — ce qui est exact : on ne sait plus qu'elle portait un numéro.