Référence
Sécurité
La sécurité Wadyu repose sur l’isolation stricte des tenants, le SSO Microsoft, le chiffrement des secrets, les rôles d’accès, l’audit et la minimisation des données.
Isolation multi-tenant
Chaque donnée métier doit être rattachée au MSP et au client. Même lorsqu’un identifiant client est présent dans l’URL, Wadyu doit vérifier que l’utilisateur courant appartient au MSP autorisé et possède la permission adaptée.
Cette règle concerne les clients, observations App Metering, rapports, coûts, profils, collecteurs, tickets, policies, rôles et journaux. L’interface ne doit pas être la seule barrière.
SSO et sessions
Le SSO Microsoft doit être attaché au tenant MSP. Les domaines autorisés, l’identifiant tenant Entra et le slug MSP doivent être cohérents pour éviter les connexions hors contexte.
Le login local de secours, lorsqu’il existe, doit rester réservé aux scénarios de récupération administrateur. Il ne fait pas partie du parcours standard des clients ou utilisateurs MSP.
Secrets et intégrations
Les secrets Microsoft, tokens, webhooks ITSM et clés collecteur doivent être protégés, chiffrés ou hashés selon leur usage. Une clé collecteur brute ne doit pas être stockée en clair côté serveur.
Les erreurs, exports et captures ne doivent jamais afficher de secret. Les messages doivent donner assez de contexte pour diagnostiquer sans divulguer de valeur confidentielle.
Collecteur
Le collecteur accepte uniquement les observations rattachées à une clé client valide. Il doit limiter le débit, valider les payloads et empêcher une clé de pousser des données dans un autre client.
Le collecteur mesure des applications ciblées. Il ne lit pas les documents, ne capture pas l’écran et ne collecte pas le contenu du travail utilisateur.
Contrôles visibles
Les administrateurs doivent pouvoir vérifier la dernière synchronisation, la dernière observation collecteur, les erreurs fonctionnelles, les rôles actifs, les accès client et les paramètres de rétention.
Les contrôles d’infrastructure détaillés restent internes à Wadyu. La documentation publique se concentre sur les garanties, les responsabilités et les validations visibles dans le produit.