Le déploiement privé utilise l’authentification de la plateforme d’hébergement et des habilitations serveur. Les en-têtes d’identité ne doivent être acceptés que derrière le répartiteur de confiance : ne pas exposer directement l’application sur un serveur qui accepte des en-têtes forgés. Pour un hébergement indépendant, intégrer un fournisseur d’identité validé et retirer cette dépendance avant ouverture.
Permissions contrôlées sur serveur, périmètres nationaux, requêtes préparées, vérification d’origine pour écritures, limites de taille, vérification de format, transitions imposées et numéros de révision. Les logs du dispositif sont consultables par l’administrateur. Les limites restantes comprennent absence d’antivirus documentaire intégré, d’authentification MFA propre à l’application, de notifications d’incident automatiques et de journal inaltérable hors base. Les exigences supplémentaires doivent être traitées avant collecte sensible.
Cible à faire approuver : sauvegarde quotidienne de la base structurée, copie quotidienne des fichiers et inventaire de leurs identifiants. Conserver une copie indépendante dans une localisation autorisée. Chiffrer les sauvegardes et séparer les permissions de restauration des permissions courantes. Objectifs proposés, non garantis : perte maximale de 24 heures et reprise en 8 heures après disponibilité des sauvegardes. Le service effectif dépend du contrat d’hébergement et du personnel d’astreinte.
Pour le déploiement Cloudflare direct, exporter D1 via la commande documentée dans README_DEPLOIEMENT et sauvegarder les objets R2 via un client compatible S3 configuré avec un accès dédié. Sur l’hébergement Sites, utiliser les mécanismes d’export et de restauration disponibles au propriétaire ; les migrations et noms logiques de stockage sont dans le code livré. Sauvegarder toujours la base et les objets avec un inventaire cohérent. Une sauvegarde de code seule ne contient pas les données.
Créer un environnement de reprise privé. Charger la base exportée et restaurer les objets par identifiant. Vérifier le nombre de lignes, les dernières dates, les droits, les signatures des fichiers et un échantillon de téléchargements. Faire un test complet de collecte et validation. Obtenir le visa métier avant bascule. Documenter l’écart entre dernière sauvegarde et dernière transaction, puis rapprocher les transmissions manquantes avec les pays.
Le déclarant indique date, périmètre, comportement et contact sans joindre de données sensibles par canal non autorisé. L’administrateur conserve les preuves, suspend les accès compromis, isole les flux touchés et informe le responsable institutionnel. L’équipe désignée qualifie gravité et obligations de notification, décide de la restauration puis établit un rapport causes, impact, mesures et suivi. Ne pas supprimer les preuves pour faire disparaître un incident.
Revue mensuelle des comptes et erreurs, test trimestriel de restauration et simulation semestrielle d’incident. Tenir un registre des mises à jour et dépendances. Prévoir une analyse de sécurité indépendante avant l’ouverture officielle et avant introduction de données personnelles ou sensibles.