Sécurité et confidentialité
La Gateway note de quoi compter et suivre chaque appel, jamais son contenu. Vos clés ne sont montrées qu'une fois, et chaque appel est vérifié avant de partir chez le fournisseur.
Ce qui est conservé
Pour chaque appel :
- la clé utilisée, et donc la personne et l'organisation ;
- le modèle demandé et celui qui a répondu, et l'usage du modèle de secours ;
- les tokens (ou les images, caractères, secondes, pages), le coût et la durée ;
- le statut, et en cas d'erreur sa catégorie ;
- le flag, le sous-flag et les autres clés de
metadata.
Les clés de metadata sont conservées et visibles dans le journal des appels : n'y mettez pas de données personnelles.
Ce qui n'est pas conservé
- Vos messages et les réponses des modèles.
- Les images, l'audio, les vidéos et les documents envoyés ou générés.
- Votre clé en clair.
Vos clés
- Montrée une seule fois. Supervise ne garde qu'une empreinte de la clé et son début (
sv_gw_…) pour l'afficher. - Révocation immédiate. Une clé révoquée est refusée dès l'appel suivant : sa vérification n'est jamais mise en cache.
- Jamais affichée ailleurs : ni dans les journaux, ni dans les réponses, ni dans les messages d'erreur.
Les accès aux fournisseurs
Par défaut, Supervise appelle les fournisseurs avec ses propres accès. Ils sont chiffrés, ouverts en mémoire le temps d'un appel, et ne vous sont jamais montrés. Vous n'avez aucun compte fournisseur à ouvrir ni aucune clé fournisseur à gérer.
Un administrateur de votre organisation peut connecter sa propre clé pour un fournisseur, depuis « Gateway IA › Administration ». Dans ce cas, les appels à ce fournisseur passent par cette clé, chiffrée et ouverte en mémoire le temps d'un appel, jamais réaffichée une fois enregistrée. Voir Vos propres clés (BYOK).
Chaque appel est vérifié
- La clé et son type, avant toute autre chose.
- Le nombre d'appels de la clé dans la minute.
- La limite de dépense de la personne.
- Le modèle, qui doit être ouvert pour l'organisation.
- Les paramètres : seuls ceux que la Gateway connaît partent chez le fournisseur. Un paramètre qui tenterait de changer la destination de l'appel est refusé.
Si une vérification ne peut pas se faire, l'appel est refusé (503), jamais laissé passer.
Les outils
Les outils (tools) que vous déclarez sont transmis au modèle tels quels. La Gateway ne les exécute jamais : c'est votre code ou votre outil qui le fait. Les skills de Claude Code tournent sur votre poste.
L'isolation entre organisations
- Une clé n'agit que pour l'organisation qui l'a créée.
- Une vidéo n'est lisible que par l'organisation qui l'a demandée.
- Chaque membre ne voit que ses propres clés et ses propres appels dans la page « Gateway IA ».