Une infrastructure dédiée, isolée et maîtrisée.

Hébergement — serveur dédié

Maestor est passé d'un hébergement mutualisé à un serveur dédié et isolé sur Infomaniak Public Cloud (OpenStack), datacenter de Genève (Suisse).

• Ressources CPU, mémoire et stockage dédiées — aucun voisin de palier.
• Instance OpenStack pilotée par Maestor (système, services et configuration maîtrisés de bout en bout).
• Stockage applicatif sur volume bloc dédié, distinct du disque système.
• Données hébergées exclusivement en Suisse (nLPD).

Isolation & durcissement

Le serveur applique une défense en profondeur, sous notre contrôle direct.

• Pare-feu dédié en politique « tout refusé par défaut » : seuls HTTP, HTTPS et le SSH (port non standard) sont exposés.
• Détection et bannissement automatique des tentatives d'intrusion (fail2ban).
• Accès administrateur par clé cryptographique uniquement — mot de passe et connexion root désactivés.
• Double authentification : code temporaire (TOTP, application d'authentification) pour les accès d'administration ; code à usage unique par e-mail pour les utilisateurs — sans application à installer.
• Secrets applicatifs stockés hors de la racine web, permissions restreintes (lecture limitée au service).
• Aucun fichier sensible exposé (configuration, dépôt de code, sauvegardes) — vérifié.

Chiffrement en transit

Tous les échanges sont chiffrés avec des paramètres modernes.

• TLS 1.3 et 1.2 uniquement — TLS 1.0/1.1 refusés.
• Perfect Forward Secrecy, suites de chiffrement ECDHE/AES-GCM.
• HSTS activé, redirection HTTP → HTTPS systématique.
• Certificats automatisés (Let's Encrypt) avec renouvellement automatique.

Données & sauvegardes

La couche données est dédiée et authentifiée.

• Base de données MariaDB dédiée, sur volume isolé.
• Chiffrement au repos : base MariaDB chiffrée et volume de stockage chiffré — les données sur disque sont illisibles sans les clés.
• Cache et files Redis avec authentification requise.
• Cloisonnement multi-tenant : chaque organisation et chaque réseau n'accède qu'à ses propres données.
• Sauvegardes chiffrées quotidiennes externalisées hors-serveur chez un dépositaire suisse (chiffrement de bout en bout, restauration testée).
• Objectifs de continuité : RPO 24 h / RTO 4 h.

Temps réel

L'application communique instantanément avec les utilisateurs.

• Canal WebSocket chiffré (wss) entre le serveur et les interfaces (tableaux de bord, alertes, suivi).
• Diffusion par canaux privés signés et cloisonnés par organisation / réseau / utilisateur.
• Repli automatique (polling) si le WebSocket est momentanément indisponible — aucune perte de fonctionnalité.

Scalabilité

L'infrastructure Public Cloud est dimensionnable à la demande.

• Montée en puissance (CPU/RAM/disque) du serveur en quelques minutes depuis la console Infomaniak, sans changement applicatif.
• Architecture compatible avec l'ajout d'instances (base, cache et WebSocket prêts pour un mode multi-nœuds).
• Stockage objet S3-compatible (Swift) disponible pour externaliser les fichiers volumineux — cible.

Principes d'ingénierie

Des règles appliquées à chaque couche.

• Defense in depth · least privilege · secure by default.
• Séparation des environnements de développement et de production ; déploiements tracés.
• Runtime à jour : PHP 8.3 (OPcache + JIT), système maintenu (mises à jour de sécurité automatiques).
• Journalisation centralisée et horodatée ; supervision des erreurs applicatives auto-hébergée (souveraine, données conservées en Suisse — aucun service tiers).

Dernière mise à jour : 5 juin 2026.