Multi-tenancy et isolation des données

Modèle conceptuel

Tenant (Établissement)
  ├── Users (étudiants, professeurs, coordinateurs, admin institutionnel)
  ├── Courses → Modules → Lessons
  ├── ClassGroups (groupes de classe)
  ├── MediaAssets (bibliothèque multimédia)
  ├── Automations
  ├── EmailTemplates
  ├── VideoProviderConfig (BBB/Zoom/Teams/Meet)
  ├── TenantApiKey (clés API propres)
  ├── TenantSubscription (facturation)
  ├── ...toutes les autres entités

Les utilisateurs sans tenantId sont B2C (plateforme directe). Les utilisateurs avec tenantId appartiennent à un établissement.

Isolation des données — 3 couches

Couche 1 : Filtrage obligatoire dans les requêtes

Toute requête Prisma dans le code applicatif filtre par tenantId :

const { tenantId } = requireTenant(user);
const courses = await prisma.course.findMany({
  where: { tenantId }, // OBLIGATOIRE
});

requireTenant() dans apps/web/lib/tenant.ts retourne un NextResponse 403 si l'utilisateur n'a pas de tenant. Sans cet appel, il est impossible d'accéder aux données B2B.

Couche 2 : RLS dans Supabase

En tant que filet de sécurité contre les bugs, les politiques RLS dans Supabase renforcent l'isolation même pour les requêtes directes. Si un code oublie le filtre tenantId, la base de données refuse.

Couche 3 : Audit de l'admin global

Lorsqu'un admin global doit accéder aux données d'un tenant (support, débogage), il utilise l'impersonation via un cookie HMAC avec :

• TTL fixe d'1 heure (non prolongeable)
• Signature HMAC-SHA256 avec IMPERSONATION_SECRET
• Audit dans AdminAuditLog (action impersonate.start, IP, user-agent)
• getUserProfile() retourne isImpersonating: true + overlay en mémoire
• L'auth Supabase n'est JAMAIS modifiée (overlay uniquement)
• Une bannière sticky sur /institution/ avertit l'admin pendant la session

Le panneau admin SaaS global inclut l'impersonation pour le support.

Clés API par tenant

Par défaut, tous les appels LLM utilisent les clés globales de Studeia (ANTHROPIC_API_KEY, OPENAI_API_KEY, etc.). Les coûts sont imputés au tenant via le metering.

Mais les établissements qui disposent déjà de comptes Anthropic/OpenAI/Google peuvent utiliser leurs propres clés (TenantApiKey, chiffrée AES-256-GCM en base de données) :

1. Les coûts vont DIRECTEMENT sur le compte du tenant chez Anthropic/OpenAI
2. Studeia ne facture pas de marge sur l'IA — uniquement l'abonnement mensuel
3. Résolution automatique : TenantApiKey → ProviderApiKey global → process.env (cascade dans apps/web/lib/api-key-resolver.ts)

Ne modifie JAMAIS process.env à l'exécution (conflits entre tenants) — la clé est transmise via les options du SDK.

White-label complet

Chaque tenant peut personnaliser :

Rôles et permissions

Limites par plan

Limites appliquées via checkTenantResourceLimit(tenantId, resource) dans apps/web/lib/plan-limits.ts :

7 points d'application (tous audités le 2026-04-11) :

1. POST /api/courses/[courseId]/enroll — auto-inscription de l'étudiant
2. POST /api/institution/courses/[id]/clone — duplication de cours
3. POST /api/institution/courses/import — import IMS CC
4. executeEnrollUser() dans une automatisation
5. POST /api/scim/v2/Users — provisionnement SCIM
6. POST /api/institution/users — rattacher un utilisateur existant
7. PATCH /api/institution/users/[id] — promouvoir un rôle

Comment demander un override Enterprise

Les tenants Enterprise peuvent faire ajuster Tenant.maxStudentsOverride: Int? par l'admin global. Sans override (null), Enterprise = illimité. Contactez l'équipe commerciale via contact@studeia.com.

Limitations

• Un User appartient à UN seul tenant. Pour les enseignants intervenant dans plusieurs établissements, créer des utilisateurs distincts.
• Le partage de cours entre tenants n'est pas natif (chaque tenant dispose de son propre CMS isolé). Feuille de route : marketplace de cours avec système de licences.
• La migration d'un tenant vers un autre plan est instantanée, mais un downgrade qui violerait les limites actuelles est bloqué jusqu'à ce que le tenant ajuste ses ressources.

Voir aussi

• White-label
• SSO Enterprise
• Comparatif : Studeia vs Moodle