Architecture et hébergement
Comment caisse.bzh est construit et hébergé, ce qui est mesuré et ce qui ne l'est pas encore. Une information qui n'a pas encore été confirmée est indiquée comme « Information en cours de publication ».
Les éléments
- Le navigateur du poste, de la tablette ou du téléphone. Il ne garde que ce qu'il faut pour continuer pendant une coupure de réseau.
- Le serveur d'application de l'éditeur, joint en HTTPS. Il calcule les pages, applique les droits de chaque compte et écrit chaque vente au journal fiscal avant de l'enregistrer.
- La base clé-valeur, sur le même serveur : un enregistrement par objet, rangé par établissement ou par organisation.
- Les services extérieurs : connexion des comptes (auth.1clic.pro), envoi des e-mails, copie des archives hors du serveur.
Toutes les collectivités et tous les commerces clients partagent le même logiciel et le même serveur ; chaque requête ne voit que les établissements du compte connecté.
Hébergement
- Mode
- Service hébergé par l'éditeur (SaaS). Pas d'installation sur l'infrastructure de la collectivité.
- Hébergeur
- OVHcloud (OVH SAS)
- Pays de l'hébergeur
- France
- Lieu du centre de données
- Gravelines (Nord, France)
- Certifications de l'hébergeur
- Information en cours de publication
- Serveur dédié à ce service
- Information en cours de publication
La liste complète des entreprises qui traitent des données, et le lieu de traitement de chacune, est sur la page Sous-traitants.
Sécurité
- Échanges chiffrés en HTTPS (TLS) entre les postes et le serveur.
- Connexion personnelle de chaque agent ; session de la console dans un cookie que les pages ne peuvent pas lire.
- Journal fiscal chaîné et scellé ; journal d'audit des actions sensibles.
Le détail, avec la limite de chaque mesure, est sur la page Confiance.
Sauvegardes
Chaque nuit, les écritures du journal fiscal de la journée sont archivées dans un fichier en lecture seule, avec son empreinte SHA-256. Une fois créée, chaque archive quotidienne du journal fiscal est envoyée hors du serveur.
- Sauvegarde complète des données
- Information en cours de publication
- Chiffrement des sauvegardes
- Information en cours de publication
- Durée de conservation
- Information en cours de publication
- Dernier essai de restauration
- Information en cours de publication
Mesure de la disponibilité
Une sonde sur un serveur distinct vérifie chaque minute l’accès HTTPS, le stockage, la signature fiscale et l’horloge. Les contrôles locaux restent séparés. Le suivi public publie les minutes disponibles, indisponibles et inconnues, la couverture de mesure et un relevé JSON par mois civil Europe/Paris. Les minutes inconnues ne prouvent jamais le respect d’un objectif.
La sonde garde les observations pendant sept jours si le service ne peut les recevoir, puis les retransmet à son retour. Une sonde sur Cloudflare complète la sonde sur un serveur OVH distinct du serveur applicatif. Ses observations sont conservées hors OVH, même si l’hébergeur de l’application est entièrement inaccessible. Son état indépendant reste consultable hors du site applicatif. Une défaillance propre aux observateurs reste visible dans les minutes inconnues. Le seuil et le traitement contractuel de ces inconnues sont précisés dans chaque contrat client. Aucun taux universel ne s’applique à tous les comptes.
Limites actuelles
- Un seul serveur, sans serveur de secours prêt à prendre le relais : une panne du serveur arrête le service jusqu'à sa remise en route. La vente et le contrôle des billets peuvent continuer sur un poste préparé pour le hors ligne.
- Aucun délai de reprise ni aucune perte de données maximale n'est mesuré à ce jour.
- Pas d'astreinte permanente.