Une infrastructure de liens avec engagements, isolation et piste d’audit

Des engagements contractuels plutôt qu’une case à cocher en libre-service

Les contrats entreprise se négocient : un accord de niveau de service couvrant la disponibilité des redirections, un accord de traitement des données avec une liste à jour des sous-traitants, une revue de sécurité avant signature, et une commission de plateforme négociée à partir de cinq pour cent plutôt que reprise d’une grille publique. Domaines, espaces de travail et clics suivis sont sans plafond.

L’authentification unique est prévue après le lancement, et c’est présenté comme tel plutôt que sous-entendu. Si la fédération d’identité est une exigence ferme pour votre déploiement, elle doit faire partie de la discussion et du calendrier avant toute signature : un fournisseur qui répond vaguement à cette question répondra de la même façon aux questions plus difficiles.

• ✓Accord de niveau de service sur la disponibilité des redirections
• ✓Accord de traitement des données et liste publiée des sous-traitants
• ✓Commission de plateforme négociée à partir de cinq pour cent
• ✓Domaines, espaces de travail, liens et clics suivis illimités
• ✓Conservation des statistiques jusqu’à vingt-quatre mois
• ✓Authentification unique après le lancement, annoncée comme un élément de roadmap

Entrée dédiée et routage prévisible

À partir du forfait Scale, vous disposez d’une IP d’entrée dédiée pour vos domaines, ce qui compte de trois façons concrètes : les domaines racines fonctionnent chez les bureaux d’enregistrement incapables d’aplatir un CNAME, les réseaux d’entreprise et vos partenaires peuvent mettre une adresse stable en liste d’autorisation, et votre trafic ne partage pas son point d’entrée avec des locataires sans rapport.

Chaque domaine est provisionné avec une vérification de propriété, et un nom d’hôte appartient à un seul locataire à l’échelle mondiale : personne d’autre ne peut revendiquer un nom d’hôte qui pointe vers votre marque. Le renouvellement du certificat est délégué au moment de la connexion puis se déroule sans intervention, ce qui supprime de votre calendrier l’incident d’expiration classique. Les changements de cycle de vie des domaines sont émis en webhooks : ils peuvent alimenter votre propre supervision au lieu d’être découverts par un client.

Les redirections sont servies sur le réseau edge depuis un cache plutôt que depuis une base de données, avec mise en cache des réponses négatives et limitation de débit sur le chemin des échecs ; le chemin de redirection est délibérément gardé indépendant du tableau de bord : une panne du plan de contrôle n’empêche pas les liens de résoudre.

Un traitement des données énoncé précisément

Les événements de clic ne stockent aucune adresse IP. Les visiteurs uniques sont dérivés d’une empreinte calculée avec un sel qui tourne chaque jour, qui ne peut être ni inversée en adresse ni utilisée pour suivre une personne sur plusieurs semaines, et la métrique est présentée comme des visiteurs uniques par jour, sans se déguiser en résolution d’identité. Le redirecteur ne dépose aucun cookie de suivi ; le seul cookie qu’il émet est celui, de courte durée, qui déverrouille un lien protégé par mot de passe.

Les événements détaillés sont conservés pendant la fenêtre fixée par votre contrat, jusqu’à vingt-quatre mois, puis supprimés automatiquement. Les agrégats quotidiens par lien sont conservés indéfiniment, si bien que les totaux cumulés survivent à la suppression des événements sous-jacents. Les rapports ne sont pas échantillonnés : chaque clic non robot est un événement stocké, et le trafic des robots, exclu des rapports par défaut, n’est jamais silencieusement jeté.

L’isolation des locataires est appliquée dans la couche de données — chaque requête portant sur des données locataires est filtrée par espace de travail et par partenaire, avec une suite de tests dédiée — au lieu de reposer sur la seule prudence de l’interface.

Gouvernance entre entités

La structure suit l’organisation : un espace de travail par marque, région, gamme de produits ou agence, chacun avec ses domaines, ses liens, ses statistiques et ses membres. Quatre rôles — propriétaire, administrateur, membre et lecteur — couvrent la différence entre l’équipe qui publie les liens, les interlocuteurs qui ne font que lire les résultats et la personne qui contrôle le forfait. Les clés API sont limitées à un espace de travail avec des listes de permissions explicites, peuvent porter une date d’expiration et se révoquent instantanément, avec un horodatage de dernière utilisation pour retrouver les intégrations dont plus personne ne se souvient.

Chaque changement significatif écrit une entrée d’audit — modification de destination, changement de membre ou de rôle, connexion de domaine, révocation de clé — lisible dans le tableau de bord et disponible par l’API pour export vers votre propre plateforme de logs. Combiné aux webhooks signés des événements de domaine et d’abonnement, cela suffit à ce qu’une revue de sécurité réponde elle-même à ses questions au lieu d’ouvrir des tickets.