Multi-tenancy et isolation des données

Modèle conceptuel

Tenant (Établissement)
  ├── Users (étudiants, professeurs, coordinateurs, admin institutionnel)
  ├── Courses → Modules → Lessons
  ├── ClassGroups (groupes de classe)
  ├── MediaAssets (bibliothèque de médias)
  ├── Automations
  ├── EmailTemplates
  ├── VideoProviderConfig (BBB/Zoom/Teams/Meet)
  ├── TenantApiKey (clés IA propres)
  ├── TenantSubscription (facturation)
  ├── ...toutes les autres entités

Les utilisateurs sans tenantId sont des utilisateurs B2C (plateforme directe). Les utilisateurs avec tenantId appartiennent à un établissement.

Isolation des données — 3 couches

Couche 1 : Filtrage obligatoire dans les requêtes

Toute requête Prisma dans le code applicatif filtre par tenantId :

const { tenantId } = requireTenant(user);
const courses = await prisma.course.findMany({
  where: { tenantId }, // OBLIGATOIRE
});

requireTenant() dans apps/web/lib/tenant.ts retourne NextResponse 403 si l'utilisateur n'a pas de tenant. Sans cet appel, il est impossible d'accéder aux données B2B.

Couche 2 : RLS dans Supabase

En tant que filet de sécurité contre les bugs, les politiques RLS dans Supabase renforcent l'isolement même pour les requêtes directes. Si un code oublie le filtre tenantId, la base de données refuse.

Couche 3 : Audit de l'admin global

Lorsqu'un admin global doit accéder aux données d'un tenant (support, débogage), il utilise l'usurpation d'identité via un cookie HMAC avec :

• TTL fixe de 1h (non prolongeable)
• Signature HMAC-SHA256 avec IMPERSONATION_SECRET
• Audit dans AdminAuditLog (action impersonate.start, IP, user-agent)
• getUserProfile() retourne isImpersonating: true + overlay en mémoire
• L'authentification Supabase n'est JAMAIS modifiée (overlay uniquement)
• Une bannière persistante sur /institution/ avertit l'admin pendant la session

Le panneau admin SaaS global inclut l'impersonation pour le support.

Clés API par tenant

Par défaut, tous les appels LLM utilisent les clés globales (ANTHROPIC_API_KEY, OPENAI_API_KEY, etc.) de Studeia. Les coûts sont imputés au tenant via le métering.

Mais les établissements qui disposent déjà de comptes Anthropic/OpenAI/Google peuvent utiliser leurs propres clés (TenantApiKey, chiffrée AES-256-GCM en base) :

1. Les coûts vont DIRECTEMENT sur le compte du tenant chez Anthropic/OpenAI
2. Studeia ne facture pas de marge IA — seulement l'abonnement mensuel
3. Résolution automatique : TenantApiKey → ProviderApiKey global → process.env (cascade dans apps/web/lib/api-key-resolver.ts)

Ne définit JAMAIS process.env en runtime (cela créerait des conflits entre tenants) — passe la clé via les options du SDK.

White-label complet

Chaque tenant peut personnaliser :

Rôles et permissions

Limites par plan

Limites appliquées via checkTenantResourceLimit(tenantId, resource) dans apps/web/lib/plan-limits.ts :

7 points d'application (tous audités le 2026-04-11) :

1. POST /api/courses/[courseId]/enroll — auto-inscription de l'étudiant
2. POST /api/institution/courses/[id]/clone — clonage de cours
3. POST /api/institution/courses/import — import IMS CC
4. executeEnrollUser() dans une automatisation
5. POST /api/scim/v2/Users — provisionnement SCIM
6. POST /api/institution/users — associer un utilisateur existant
7. PATCH /api/institution/users/[id] — promouvoir un rôle

Comment demander un dépassement Enterprise

Les tenants Enterprise peuvent avoir Tenant.maxStudentsOverride: Int? ajusté par l'admin global. Sans dépassement (null), Enterprise = illimité. Contactez le service commercial via contact@studeia.com.

Limitations

• Un User appartient à UN seul tenant. Pour les professeurs intervenant dans plusieurs établissements, créer des utilisateurs distincts.
• Le partage de cours entre tenants n'est pas natif (chaque tenant dispose de son propre CMS isolé). Feuille de route : marketplace de cours avec licences.
• La migration d'un tenant vers un autre plan est instantanée, mais le passage à un plan inférieur qui viole les limites actuelles est bloqué jusqu'à ce que le tenant ajuste ses ressources.

Voir aussi

• White-label
• SSO Enterprise
• Comparatif : Studeia vs Moodle