Installation

CoeOS se déploie comme un ensemble client + box (le routeur). Le client n’embarque aucune clé ni URL de fournisseur : il ne parle qu’à la box, unique passerelle de sortie. Le profil d’installation est figé au déploiement et n’est jamais modifiable par un utilisateur.

Les deux profils

local — cabinet on-prem

Tout tourne dans l’infrastructure du cabinet. Le confidentiel reste local : il ne part jamais vers un cloud, même sous DPA. Si l’endpoint local est éteint, c’est une erreur — jamais un contournement silencieux. C’est la posture la plus stricte pour le secret professionnel.

vps — cloud dédié (ex. OVH)

Une instance dédiée par client. Le confidentiel part en cloud_dpa : un fournisseur sous accord de traitement des données, jamais vers un cloud générique. Adapté à une démonstration ou à un cabinet qui accepte un traitement cloud encadré.

Ce qu’il faut

• La box CoeOS (le routeur) — porte le registre des modèles par axe, le vault des clés, et applique le Guardian.
• Un fournisseur de modèles — une clé API (le confidentiel est routé selon le profil et la classe).
• Un domaine (pour un déploiement VPS) et un certificat TLS.
• Optionnel : OCR pour les PDF scannés (Mistral OCR, en cloud sous DPA ou auto-hébergé en un conteneur pour le profil local) ; une base documentaire (RAG) par projet.

Isolation réseau

Au démarrage, le Guardian vérifie la topologie : l’application, la recherche documentaire et l’extraction de documents n’ont aucune route vers internet ; seule la box en a une. Un contrôle interdit tout appel réseau hors du point de sortie unique.

Sauvegarde et rétention

Sauvegarde chiffrée quotidienne. Purge automatique et journalisée : données techniques d’inférence à 30 jours, journaux d’authentification à 90 jours. La procédure détaillée d’exploitation vit dans le runbook d’infrastructure fourni avec le déploiement.

Note

Le déploiement est réalisé par votre intégrateur. Ce guide décrit les choix de profil et les prérequis ; les commandes exactes vivent dans le runbook.