From 38dc21407785f05f8d34e1fc1cd5f7d85e863186 Mon Sep 17 00:00:00 2001 From: Daniel Allaire Date: Sun, 2 Aug 2026 17:52:38 -0400 Subject: [PATCH] =?UTF-8?q?docs=20:=20le=20recouvrement=20de=20la=20cl?= =?UTF-8?q?=C3=A9=20du=20responsable?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Elle se perd, se compromet, ou la personne quitte l'organisation. Sans procédure, un tenant devient inmigrable : captif non par contrat mais par accident — exactement ce que la recette existe pour empêcher. Deux écueils symétriques consignés. Trop lourde, la procédure n'aboutit jamais et le tenant reste bloqué. Trop légère, elle devient le chemin de moindre résistance pour contourner la signature : inutile de forger un mandat si l'on peut se faire attribuer la clé. Le recouvrement doit être au moins aussi difficile que ce qu'il protège. Vraisemblablement le même mécanisme que le changement de responsable — dans les deux cas quelqu'un d'extérieur à la clé atteste de l'autorité. Piste la plus transposable des registraires : un contact de secours nommé en même temps que le responsable, tant que personne n'est en situation d'urgence. Preuves : 24 OK, 0 échec. Co-Authored-By: Claude Opus 5 --- CHANGELOG.md | 14 +++++++++++++- docs/migration-tenant.md | 14 ++++++++++++++ 2 files changed, 27 insertions(+), 1 deletion(-) diff --git a/CHANGELOG.md b/CHANGELOG.md index 978ba43..7347fbb 100644 --- a/CHANGELOG.md +++ b/CHANGELOG.md @@ -20,10 +20,22 @@ retirait une fausse impression. Ce qui reste gratuit est l'adressage, pas le retour : tout dérive d'un seul chiffre, dans les deux sens. -### Ajouté aux points à trancher — deux questions de gouvernance +### Ajouté aux points à trancher — trois questions de gouvernance **Où le responsable désigné est déclaré**, et surtout **comment on en change** : c'est un acte au moins aussi sensible que la migration, puisqu'il décide qui pourra la mandater ensuite. +**Le recouvrement de la clé du responsable** — elle se perd, se compromet, ou la personne +quitte l'organisation. Sans procédure, un tenant devient **inmigrable** : captif non par +contrat mais par accident, exactement ce que la recette existe pour empêcher. + +Deux écueils symétriques y sont consignés. Trop lourde, la procédure n'aboutit jamais et le +tenant reste bloqué. Trop légère, elle devient le **chemin de moindre résistance** pour +contourner la signature — inutile de forger un mandat si l'on peut se faire attribuer la clé. +Le recouvrement doit être au moins aussi difficile que ce qu'il protège. + +Piste retenue, la plus transposable des registraires : un **contact de secours nommé en même +temps que le responsable**, tant que personne n'est en situation d'urgence. + **La durée de rétention** : convenue avec qui, consignée où, attestée par qui. Sur une séparation d'hébergeur, un flou ici finit en litige. diff --git a/docs/migration-tenant.md b/docs/migration-tenant.md index 4e467f8..db65fe8 100644 --- a/docs/migration-tenant.md +++ b/docs/migration-tenant.md @@ -229,6 +229,20 @@ a révoqué ses accès, il faudrait les rétablir. - **Où le responsable désigné est déclaré** dans le plan du tenant, et surtout **comment on en change** : c'est un acte au moins aussi sensible que la migration elle-même, puisqu'il décide qui pourra la mandater ensuite. +- **Le recouvrement de la clé du responsable** — elle se perd, se compromet, ou la personne + quitte l'organisation. Sans procédure, un tenant devient **inmigrable** : captif non par + contrat mais par accident, ce que toute cette recette existe pour empêcher. + + Deux écueils symétriques. Une procédure trop lourde et le recouvrement n'aboutit jamais, + donc le tenant reste bloqué. Trop légère et elle devient le **chemin de moindre résistance** + pour contourner la signature : inutile de forger un mandat si l'on peut se faire attribuer + la clé. Le recouvrement doit être au moins aussi difficile que ce qu'il protège. + + C'est vraisemblablement le **même mécanisme** que le changement de responsable ci-dessus : + dans les deux cas, quelqu'un d'extérieur à la clé atteste de l'autorité. Les registraires + procèdent hors bande — pièces justificatives, délai d'opposition, contact de secours déclaré + d'avance. Ce dernier point est le plus transposable : **un contact de secours nommé en même + temps que le responsable**, tant que personne n'est encore en situation d'urgence. - **La durée de rétention** avant purge : convenue **avec qui**, consignée **où**, et attestée par qui. Sur une séparation d'hébergeur, un flou ici finit en litige — c'est précisément ce qu'un contrat écrit d'avance évite.