Vos données de production restent chez vous.

Disque chiffré sur toute unité livrée

Unités Linux : LUKS2, clé scellée dans la puce TPM 2.0. Unités Windows : BitLocker avec protecteur TPM.

Contrôle avant livraison

Une unité au disque non chiffré ou sans clé de secours est refusée. Sur PC, aussi une clé non liée à la puce ou un démarrage sécurisé (Secure Boot) coupé.

Fichiers de pièce sous double enveloppe

En plus du disque, une enveloppe AES-256-GCM sous une clé générée sur l'unité, scellée par sa puce sur PC. Cette clé n'existe nulle part ailleurs.

Clé de secours

Affichée une seule fois, recopiée sur papier et ressaisie avant la fin de l'installation. Jamais écrite sur le disque, dans un journal ni sur le réseau.

État mesuré et affiché

Le chiffrement est mesuré par l'unité elle-même ; un disque en clair allume une alerte rouge sur tous les écrans.

Édition Mini

Volume de données chiffré ; clé scellée dans un module TPM.

Trois profils, fixés à la livraison

Scellée : rien ne sort. Supervisée : présence seule. Connectée : présence et mises à jour. Le profil vient d'un document signé par Farm-3D, lié au numéro de série de l'unité.

Imposé par le système, pas seulement par l'application

Le profil pilote un pare-feu sortant à refus par défaut (nftables sous Linux (AlmaLinux), Pare-feu Windows). Seul le réseau local du site reste joignable.

Services du système coupés

Hors profil Connectée : Windows Update, télémétrie, SmartScreen, consultations cloud de Defender (Defender reste actif), mises à jour d'Edge et de WebView2, minuteurs dnf et apt.

Preuve à l'écran

Réglages montre si le pare-feu est en vigueur, le nombre de sorties refusées et les dernières destinations bloquées.

Seul Farm-3D peut assouplir le profil

L'opérateur peut toujours le rendre plus strict. L'assouplir exige une autorisation signée par Farm-3D, liée à l'unité et déposée hors ligne.

Aucun accès entrant de Farm-3D

Ni clé SSH ni prise en main à distance. Le support passe par un dossier de diagnostic, sur une fenêtre de 24 h au plus ouverte par l'opérateur.

Télémétrie bornée par le profil

Aucune en Scellée. Quel que soit le profil, jamais de donnée de production dans le signal de présence.

Chaque paquet est signé

Signature OpenPGP Ed25519, vérifiée contre une clé publique compilée dans le logiciel, avant que le contenu du paquet soit ouvert.

Signature obligatoire

Paquet non signé, signé par une clé inconnue ou d'empreinte SHA-256 discordante : refusé. Aucun réglage ne le contourne.

Jamais de retour arrière

Une version antérieure ou égale à celle installée est refusée, jusque dans l'installateur privilégié.

Clé USB pour les unités hors réseau

FAT32 uniquement. Rien de la clé n'est exécuté : elle n'apporte que des données, vérifiées avant tout usage.

Nom et PIN à chaque installation par clé

Toujours exigés, quel que soit le réglage de l'unité ; l'auteur est inscrit au journal avant le début de l'installation.

Clé étrangère : alarme

Une clé de stockage inconnue ou un paquet altéré déclenche une alarme sonore et une bannière à l'écran.

Correctifs du système par la même clé

Unités Linux : les correctifs de sécurité du système arrivent hors ligne, sous la signature de Farm-3D et celle de l'éditeur.

Licence liée au matériel

Signée par Farm-3D, vérifiée hors ligne sur l'unité, liée à son empreinte matérielle, puce TPM comprise sur PC.

Copie inutilisable

Un disque copié ou une unité clonée sur un autre matériel ne s'installe pas.

Ne coupe jamais une unité en marche

Aucun contrôle de licence n'arrête une unité en service ni une impression en cours ; un défaut s'affiche et se répare sur place.

Deux clés, deux usages

La clé qui signe les licences ne signe pas les paquets : émettre une licence ne permet pas de fabriquer une mise à jour.

Journal en ajout seul

Imposé par la base de données : le compte de l'application ne peut ni modifier ni supprimer un événement.

Nom et PIN, toujours, pour les gestes sensibles

Changer le profil réseau, autoriser un poste, ouvrir une fenêtre de diagnostic, installer par clé, relancer une impression.

Accès par code PIN, selon le rôle

Trois rôles : opérateur, manager, référent. Chacun s'identifie par son code personnel ; l'administration de l'unité est réservée au référent.

Un geste non signé est dit tel quel

Fait sans PIN, il est enregistré au nom du poste et marqué non signé, jamais attribué à une personne.

Une mesure manquante est signalée

Si un capteur ou une machine ne répond pas, l'écran affiche « non disponible » au lieu d'un chiffre.

Empreinte du rapport d'impression

L'empreinte SHA-256 du document est calculée et conservée à sa génération.

Diagnostic tracé

Chaque ouverture ou fermeture de fenêtre de diagnostic est inscrite au journal : qui, quand, jusqu'à quand.