# Posture de sécurité

> Image distroless, non-root, multi-architecture ; SBOM, signature et attestation sans clé sur le digest ; une release re-tague le digest testé, sans reconstruire

Concept - Depuis la version 0.1.0 - Flexway v1.6.3 - https://flexway.io/docs/product-security/

> Guide produit : ce que la capacité apporte, pour qui, ses limites et la version qui l'a livrée - sans syntaxe de configuration.
>
> Côté développeurs : [Obtenir des identifiants](https://flexway.io/docs/developer-credentials/) ; côté exploitation : [Brancher son fournisseur d'identité](https://flexway.io/docs/operations-identity/), [Passer en Kubernetes](https://flexway.io/docs/operations-kubernetes/).

| Domaine | Ce qui est fait |
| --- | --- |
| **Chaîne d'approvisionnement** | Image distroless, non-root, multi-architecture ; SBOM, signature et attestation sans clé **sur le digest** ; une release re-tague le digest testé, sans reconstruire |
| **Secrets** | Toujours par référence (variable ou fichier monté), jamais en clair dans la configuration - une valeur en clair refuse le chargement |
| **Chemin de requête** | Fermé par défaut ; validation des paramètres et du corps contre le contrat ; aucune erreur interne de l'amont relayée ; en-têtes de sécurité sur chaque réponse |
| **Données personnelles** | Zéro PII dans les journaux ; sujet haché dans l'audit et les compteurs ; aucune invite d'IA journalisée |
| **Règles prouvées** | Les règles métier `RG-*` sont des conditions de sortie testées, pas des intentions ; revue de sécurité interne de l'authentification et de l'isolation avant `1.0.0` |
| **IA** | Aucun modèle ne décide d'une autorisation, d'un débit ou d'un routage : l'IA propose, la configuration dispose |
| **Limites** | Pas d'audit de sécurité externe à ce jour ; pas de WAF ni d'anti-DDoS (le rôle du bord) ; la preuve d'exécution exportable pour le règlement européen sur l'IA arrive en `1.9.0` |

Détail d'exploitation : [Passer en Kubernetes](https://flexway.io/docs/operations-kubernetes/).