Mises à jour signées et licence : savoir exactement ce qui s’exécute

Sommaire

1. Une livraison compilée
2. Des versions signées, vérifiées par l’installateur
3. Une licence unique, vérifiée par chaque composant
4. Ce que la signature et la licence ne font pas
5. Comment se passe une mise à jour
6. Correctifs de sécurité

Installer un logiciel sur ses serveurs, c’est accepter d’y exécuter du code écrit par d’autres. La question légitime de votre équipe sécurité est donc : comment savoir que ce qui s’exécute est bien ce qui a été livré, et rien d’autre ? Cette page décrit les trois mécanismes qui y répondent : la livraison compilée, la signature des versions et la licence.

Une livraison compilée

La plateforme est livrée compilée, sous forme de conteneurs prêts à installer. Vos équipes n’ont pas à assembler des composants ni à récupérer des dépendances au moment de l’installation : ce qui est livré forme un ensemble cohérent, identifié par un numéro de version.

Cette forme de livraison protège aussi notre travail : le code n’est pas distribué en clair. Elle ne change rien à votre maîtrise de l’exécution : les conteneurs tournent sur vos serveurs, sous votre supervision.

Des versions signées, vérifiées par l’installateur

Chaque version est signée. La signature est vérifiée à l’installation, puis à chaque démarrage lancé par le script d’installation : une version modifiée après sa publication, même légèrement, ne passe pas ce contrôle et ne démarre pas. Un redémarrage automatique des conteneurs, par exemple après un redémarrage du serveur, ne refait pas ce contrôle.

1. Nous publions une version

   La version est construite puis signée ; elle porte un numéro unique.

2. Vous la recevez

   Le mode de transfert est convenu avec vous : il peut s’adapter à une installation sans accès à Internet.

3. L’installation vérifie la signature

   Si la signature ne correspond pas, l’installation s’arrête. Rien n’est démarré.

4. La plateforme démarre

   La version installée est visible depuis l’interface, ce qui permet de vérifier ce qui tourne réellement.

Une licence unique, vérifiée par chaque composant

Une seule licence couvre votre installation. Elle n’est pas contrôlée à un seul endroit : chaque composant la vérifie au démarrage. Sans licence valide, rien ne démarre.

Ce choix a deux effets. D’une part, un composant isolé ne peut pas être extrait et exécuté ailleurs sans licence. D’autre part, l’état de la licence est sans ambiguïté : soit l’installation est couverte et fonctionne, soit elle ne démarre pas.

La licence est vérifiée sur place : son contrôle ne demande pas d’appel à un service en ligne. Son périmètre, sa durée et son renouvellement sont définis dans le devis ; l’achat se fait sur devis uniquement.

Ce que la signature et la licence ne font pas

Ces mécanismes protègent l’intégrité de ce qui est livré et encadrent son usage. Ils ne transmettent rien vers l’extérieur : la vérification de la signature et celle de la licence se font sur vos serveurs, sans appel à un service en ligne. Ils ne remplacent pas non plus vos propres contrôles : durcissement des serveurs, filtrage réseau, supervision et sauvegardes restent de votre ressort, comme pour toute application installée sur votre infrastructure. Enfin, ils ne bloquent pas l’accès à vos données : en fin de licence, les données stockées sur vos serveurs restent les vôtres.

Comment se passe une mise à jour

Une mise à jour suit le même chemin qu’une première installation : réception d’une version signée, vérification de la signature, démarrage. La procédure détaillée, le calendrier et la façon de revenir à la version précédente en cas de besoin sont à préciser dans le cadre du projet, avec vos équipes d’exploitation.

Quelques principes que nous recommandons :

• Sauvegarder les données avant chaque mise à jour (voir Continuité et sauvegarde).
• Tester la nouvelle version sur un environnement distinct avant la production.
• Noter dans votre registre de changements la version installée et sa date.

Correctifs de sécurité

Lorsqu’une vulnérabilité est corrigée, le correctif est diffusé de la même manière : une nouvelle version signée. Il n’existe pas de canal parallèle, ni de modification à chaud des conteneurs. Le traitement des signalements est décrit sur la page Gestion des vulnérabilités.