La colocation partagée est une promesse portant sur du code que vous ne pouvez pas lire. Chaque client d'email.eu reçoit sa propre instance de drive, avec sa base de données et son espace de stockage. Ce que cela apporte, ce que cela nous coûte, et le crochet d'accès qui s'est révélé le bon endroit pour toute décision de droits.
« Multi-tenant » est le mot qui désigne des centaines d'entreprises partageant un même système, séparées par une colonne dans une base de données indiquant à quelle entreprise appartient chaque ligne. C'est ainsi qu'est construit l'essentiel des logiciels que vous utilisez, et cela fonctionne, jusqu'à l'instant précis où une requête quelque part oublie de filtrer sur cette colonne.
Vous ne pouvez pas le vérifier de l'extérieur. Vous faites confiance au fait que chaque requête, dans chaque fonction, écrite par chaque développeur ayant jamais travaillé là, y a pensé. Le résumé honnête de la colocation partagée, c'est qu'elle est une promesse portant sur du code que vous ne pouvez pas lire.
Notre drive n'est pas construit ainsi. Chaque client reçoit le sien.
À la création de votre espace de travail, nous montons un drive complet pour vous. Votre propre instance du logiciel, à votre propre adresse, avec sa base de données et son espace de stockage.
Pas votre propre ligne dans notre base. Votre propre base. Pas un dossier dans un espace partagé. Votre propre espace.
La question « les fichiers d'un autre client pourraient-ils devenir visibles chez nous, ou les nôtres chez lui » reçoit donc une réponse structurelle plutôt que procédurale. Aucune requête ne peut renvoyer les fichiers d'une autre entreprise, car ces fichiers ne sont pas dans l'espace interrogé. L'isolation n'est pas un filtre qu'il faut appliquer correctement à chaque fois. C'est la forme du système.
Un rayon d'impact réduit. Un problème confiné à une instance est confiné à un client. Pas une catégorie de problème qui, par construction, touche tout le monde à la fois.
Une suppression qui signifie suppression. Quand vous partez, votre drive est démantelé : instance, base, espace de stockage. Il ne reste aucun résidu archivé de vos fichiers dans un espace partagé attendant une politique de rétention qui sera ou non respectée. Cette promesse ne tient que parce que l'isolation est réelle.
Des réponses honnêtes en audit. Quand un de vos clients demande où sont ses données et qui peut encore y accéder, vous pouvez répondre précisément au lieu de transmettre le PDF de conformité d'un fournisseur.
Le coût, et il faut le dire, est que c'est plus lourd à exploiter qu'un grand système partagé. Plus d'instances, plus de bases, plus de pièces mobiles. Nous l'avons choisi quand même, car l'alternative revient à vous demander de faire confiance à du code que vous ne pouvez pas voir, et c'est exactement la confiance que toute notre approche existe pour ne pas avoir à réclamer.
Voici un détail de conception plus intéressant qu'il n'y paraît.
Le logiciel de drive n'a aucun moyen intégré d'imposer une limite de stockage stricte par utilisateur. Beaucoup de systèmes sont ainsi : ils vous montrent l'usage, et n'arrêtent personne. C'est un problème quand le stockage fait partie de ce qu'achète un forfait.
Chaque instance nous le demande donc. Chaque fois que quelqu'un ouvre le drive ou téléverse un fichier, l'instance rappelle notre console avec « cette personne, cet espace de travail, a-t-elle le droit ? » et nous répondons oui ou non. Ce seul crochet s'est révélé le bon endroit pour toute décision d'accès, et pas seulement pour le stockage :
Répondre à tout cela au même endroit signifie que le contrôle d'accès vit dans le système qui connaît réellement la vérité sur les membres, les forfaits et les paiements, au lieu d'être recopié dans chaque produit et de dériver.
Il y a une subtilité que nous avons bien traitée à la seconde lecture de la documentation, et c'est le genre de chose qui décide si un système est digne de confiance sous contrainte. Quand nous voulons refuser l'accès, nous devons répondre clairement « non ». Si nous renvoyions une erreur, le drive traiterait toute la vérification comme cassée et afficherait une page d'erreur à l'utilisateur. Un refus et une panne sont des événements différents et doivent se présenter différemment, sinon le moindre hoquet de notre console devient une panne pour vous. Un refus est donc un non explicite et bien formé, et les erreurs sont réservées à ce qui est réellement une erreur.
L'enveloppe est un pot commun pour l'espace de travail, dimensionné au nombre de personnes. En Starter, 100 Go par personne, en Business 2 To par personne, et cela couvre courrier et fichiers ensemble.
Le pot commun plutôt que la limite individuelle est délibéré. Dans toute entreprise réelle, l'usage du stockage est très inégal : la graphiste a 400 Go de fichiers sources et le responsable commercial 4 Go de PDF. Une cage stricte par personne bloque la graphiste pendant que l'essentiel de ce que vous avez payé dort. Le pot commun signifie que vous achetez pour l'entreprise et que l'entreprise répartit, et c'est ainsi que cela sert réellement.
Les fichiers se synchronisent, se partagent par lien, et s'ouvrent dans un véritable éditeur pour travailler à plusieurs sur des documents et des tableurs. Le drive parle des protocoles standard, vous y accédez donc depuis l'explorateur de votre ordinateur et pouvez tout en extraire quand vous voulez, ce qui est le principe de portabilité appliqué aux fichiers.
Le logiciel en dessous est La Suite Drive, le drive open source construit par l'administration française, que nous exploitons et auquel nous contribuons. Nous avons expliqué pourquoi nous bâtissons sur cet écosystème plutôt que de repartir de zéro.
Une limite mérite d'être nommée : les fichiers sont chiffrés dans le stockage, mais pas d'une façon qui les rende illisibles pour nous, contrairement au chiffrement de votre boîte au repos, où vous détenez la clé. Si un fichier est sensible au point qu'aucun exploitant ne doive pouvoir le lire, chiffrez-le avant qu'il n'entre. Nous préférons vous nommer la limite plutôt que vous en laisser supposer une plus forte.
Le drive est inclus dans tous les forfaits, avec une enveloppe dimensionnée à votre forfait.