06 — Portail Administration : fonctionnalités détaillées#

Surface : admin.kaxentra.com — 230 pages. Public : l'équipe d'exploitation de la plateforme, pas les clients. Relevé écran par écran effectué le 17 août 2026 sur le code source. Chaque fonctionnalité listée ci-dessous a été vue dans un fichier de page, pas déduite d'un registre de navigation.

1. Vue d'ensemble#

1.1 À quoi sert ce portail#

Le portail Administration est la salle des machines de Kaxentra. Il ne sert aucun client final. Il sert l'équipe qui exploite la plateforme, et il répond à cinq questions :

1. Qui utilise la plateforme ? — organisations, locataires, utilisateurs, rôles.
2. Qu'est-ce qui est vendu, et à quel prix ? — forfaits, modules, ensembles, fonctionnalités, quotas, coupons.
3. Est-ce que ça fonctionne ? — métriques, journaux, santé des services, traces.
4. Est-ce que c'est conforme ? — audit, protection des renseignements personnels, demandes d'accès, consentements, suppression.
5. Qu'est-ce que l'intelligence artificielle fait, à quel coût, sous quelles bornes ? — passerelle de modèles, registre des systèmes d'IA, garde-fous, gouvernance des agents, approbations.

1.2 Pourquoi il est séparé#

Trois raisons, chacune structurelle.

Le rayon d'action. Une action du portail Affaires touche un cabinet. Une action du portail Administration peut toucher tous les locataires à la fois — un changement de catalogue, une politique de garde-fou globale, une bascule de fonctionnalité. Un pouvoir de cette portée ne cohabite pas avec un usage quotidien.

Le modèle de droits. Les deux autres portails raisonnent en locataire : vous voyez ce qui appartient à votre organisation. Le portail Administration raisonne en rôle × route : chaque route porte un niveau d'accès par rôle, et certains rôles ont des dérogations explicites. Ce sont deux modèles d'autorisation différents ; les mélanger produirait des angles morts.

La responsabilité. Une erreur ici se facture à des clients réels. Le catalogue tarifaire l'a déjà démontré — voir §5.

1.3 Un principe de conception qui traverse tout le portail#

Ne jamais fabriquer un zéro.

C'est le motif le plus constant du portail, et il mérite d'être nommé parce qu'il est rare. Partout où une mesure n'est pas disponible, l'écran affiche —, « non évalué », « non mesuré » ou « indisponible » — jamais 0, jamais 100 %, jamais un graphique vide qui ressemble à une absence d'activité.

Pourquoi c'est important. Un 0 fabriqué est indistinguable d'un 0 mesuré. Un tableau de bord qui affiche « 0 violation » alors qu'il n'a pas pu lire le journal ne rassure pas : il ment. Ce portail refuse cette confusion, et c'est ce qui le rend utilisable en incident.

2. Le modèle de rôles#

2.1 Principe#

L'autorisation est une matrice route × rôle. Chaque route déclare, pour chaque rôle, un niveau parmi quatre :

2.2 Rôles et périmètres#

2.3 Ce que cette matrice dit du produit#

La séparation des pouvoirs sur le prix est réelle. Le rôle le plus puissant du portail — administrateur de plateforme — a un niveau inférieur au rôle finance sur la grille tarifaire. Ce n'est pas un oubli : c'est une séparation délibérée entre « qui administre la plateforme » et « qui fixe les prix ». Trois rôles sur cinq n'ont aucun accès à cette page.

Certaines routes sensibles sont masquées à des rôles qui ont pourtant un accès large. La page de comparaison des forfaits est traitée séparément de la page des forfaits, parce qu'elle expose des informations tarifaires croisées.

3. Arborescence#

flowchart TD
    n00["Portail Administration"] --> n01["Organisations et locataires"]
    n00 --> n02["Utilisateurs et roles"]
    n00 --> n03["Facturation et catalogue"]
    n00 --> n04["Observabilite"]
    n00 --> n05["Conformite et audit"]
    n00 --> n06["Securite et acces"]
    n00 --> n07["Intelligence artificielle"]
    n00 --> n08["Integrations"]
    n00 --> n09["Configuration de plateforme"]

    n03 --> n31["Forfaits"]
    n03 --> n32["Fonctionnalites"]
    n03 --> n33["Modules"]
    n03 --> n34["Ensembles"]
    n03 --> n35["Quotas"]
    n03 --> n36["Coupons et codes promotionnels"]
    n03 --> n37["Abonnements"]

    n04 --> n41["Metriques systeme"]
    n04 --> n42["Journal d activite"]
    n04 --> n43["Traces distribuees"]
    n04 --> n44["Statistiques plateforme"]
    n04 --> n45["Sante des services"]
    n04 --> n46["Analytique des fonctionnalites"]

    n05 --> n51["Journal d audit"]
    n05 --> n52["Conformite"]
    n05 --> n53["Vie privee"]
    n05 --> n54["Demandes d acces"]
    n05 --> n55["Consentements"]
    n05 --> n56["Suppression de donnees"]
    n05 --> n57["Audit des surcharges"]

    n06 --> n61["Clefs d API et webhooks"]
    n06 --> n62["Politiques de securite"]
    n06 --> n63["Usurpation d identite encadree"]

    n07 --> n71["Passerelle de modeles de langage"]
    n07 --> n72["Registre a portees"]
    n07 --> n73["Serveurs MCP"]
    n07 --> n74["Gabarits de prompt"]
    n07 --> n75["Outils"]
    n07 --> n76["Outils externes"]
    n07 --> n77["Gouvernance des agents"]
    n07 --> n78["Garde-fous"]
    n07 --> n79["Activite et approbations IA"]

4. Fonctionnalités détaillées#

4.1 Observabilité — Métriques système#

4.2 Observabilité — Journal d'activité de la plateforme#

4.3 Observabilité — Traces distribuées#

Écran sans action, assumé. C'est un choix de conception défendable : afficher une page de traces vide aurait laissé croire à une absence de trafic. La page dit ce qui manque. Statut : non livré, annoncé comme tel.

4.4 Observabilité — Statistiques de plateforme et santé des services#

4.5 Conformité — Journal d'audit#

4.6 Conformité — Tableau de conformité#

4.7 Conformité — Protection des renseignements personnels#

⚠️ Défaut relevé. Sur l'écran d'administration de la vie privée, le bouton « Exporter le rapport » ne produit aucun fichier : il affiche seulement une notification « Export en cours ». Les autres exports du portail (audit, conformité, journal d'activité, audit des surcharges) téléchargent, eux, un fichier réel. C'est une porte peinte : un bouton qui a l'apparence d'une action et n'en accomplit aucune. Inscrit au carnet de produit comme correction avant lancement.

4.8 Conformité — Audit des surcharges de fonctionnalités#

4.9 Sécurité — Clefs d'API et webhooks#

4.10 Sécurité — Politiques de sécurité#

Écran en lecture seule, délibérément. Aucun bouton de modification. La politique se change dans le fournisseur d'identité ; ce portail la rapporte. C'est une source unique respectée : deux écrans capables d'écrire la même politique divergeraient.

4.11 Sécurité — Usurpation d'identité encadrée#

Deux mécanismes distincts, tous deux entièrement journalisés.

Le refus est journalisé au même titre que le succès. C'est une propriété rare et importante : un journal qui n'enregistre que les réussites ne permet pas de détecter une tentative répétée.

4.12 Passerelle de modèles de langage#

4.13 Registre des systèmes d'IA — registre à portées#

C'est le mécanisme de gouvernance le plus fort du produit. Une contrainte en base lie l'activation à l'état de revue : une tentative d'activer une entrée non approuvée est rejetée par la base de données, pas par une couche applicative contournable. Un balayage de curation daté du 9 août 2026 a évalué 34 compétences externes : 20 retenues, 14 écartées avec leur motif conservé et interrogeable.

4.14 Registre des systèmes d'IA — serveurs MCP, gabarits, outils#

4.15 Gouvernance des agents#

4.16 Garde-fous#

4.17 Activité et approbations d'intelligence artificielle#

Note de conception. Ces deux écrans délèguent leur interface à un composant partagé, réutilisé par les portails Client et Affaires. C'est ce qui garantit que l'approbation humaine se présente identiquement sur les trois surfaces — une divergence d'interface sur un mécanisme de sécurité serait une faille d'usage.

5. Le catalogue comme autorité unique#

5.1 Le principe#

Le prix affiché, le droit d'accès accordé et le montant facturé dérivent d'une seule définition. Le catalogue canonique est servi tel quel, sans requête de base de données — délibérément.

Pourquoi sans requête de base ? Parce qu'une seconde lecture peut diverger de la première. Servir la définition depuis la source qui a semé la base, plutôt que depuis la base, supprime la possibilité même d'un écart entre « ce que la page de prix affiche » et « ce qui a été semé ».

5.2 Le contrôle de cohérence#

Le service ne se contente pas de servir : il compare le catalogue servi à ce que la base porte réellement, et renvoie tout écart dans la réponse, plutôt que de le cacher.

Champs comparés : prix mensuel, prix annuel, nombre de sièges, stockage, nombre de clients, crédits d'intelligence artificielle mensuels.

5.3 Pourquoi ce mécanisme existe#

Avant lui, la page de prix portait sa propre copie manuscrite de la grille tarifaire. Deux conséquences mesurées :

• un forfait affiché à un prix pendant que la facturation en pratiquait un autre, sensiblement plus élevé ;
• un palier vendu comme incluant des modules professionnels alors qu'il n'en accordait aucun.

Deux clients l'ont payé. Le catalogue unifié et son contrôle de cohérence sont nés de cette erreur.

5.4 Une leçon de second ordre, plus importante encore#

Le contrôle de cohérence, dans sa première version, ne comparait que les prix. Les quotas — sièges, stockage, nombre de clients — n'étaient pas semés en mise à jour, donc pouvaient diverger indéfiniment. Et ce contrôle-là, en ne les regardant pas, certifiait « cohérent » une base qui ne l'était pas.

Mesure du 7 août 2026 : un forfait portait 10 sièges au catalogue et 3 en base, sur les trois environnements, avec un contrôle affichant « cohérent ».

Un contrôle qui regarde à côté est pire qu'aucun contrôle : il rassure.

C'est pourquoi tout contrôle de la plateforme doit désormais énumérer explicitement ce qu'il couvre et ce qu'il ne couvre pas.

5.5 État mesuré le 17 août 2026#

Ce que l'administrateur voit. L'écran de catalogue signale l'écart et désigne le catalogue servi comme faisant autorité, plutôt que de présenter la base comme la vérité.

Ce qu'il doit faire. Trancher lequel des deux est le bon, puis réaligner. Un compte gratuit reçoit aujourd'hui, selon la couche interrogée, 10 ou 23 crédits. C'est un écart de plus du double sur la ressource la plus coûteuse du produit. Correction requise avant le lancement du 17 novembre 2026.

6. Réglages globaux de la plateforme#

7. Quotas et plafonds#

7.1 Ce qui est plafonnable#

7.2 Ce que voit l'utilisateur final#

Le principe est constant : un refus explicite plutôt qu'un succès silencieux dégradé. Un utilisateur au plafond de crédits voit un message nommant la limite atteinte et le chemin pour la lever ; il ne reçoit pas une réponse de moindre qualité sans le savoir.

Sur le portail Client, l'écran d'utilisation affiche par ressource une barre de progression, un pourcentage coloré, et deux mentions distinctes : « Bientôt plein » à partir de 80 %, « Limite atteinte » à 100 %.

8. Parcours d'administration#

8.1 Créer un locataire#

flowchart TD
    n01["Demande d ouverture de compte"] --> n02["Creer l organisation"]
    n02 --> n03["Choisir le forfait"]
    n03 --> n04["Le catalogue accorde les modules du forfait"]
    n04 --> n05["Creer le compte administrateur du locataire"]
    n05 --> n06["Envoyer l invitation"]
    n06 --> n07{"Modules supplementaires demandes ?"}
    n07 -->|"oui"| n08["Accorder une surcharge - motif obligatoire"]
    n07 -->|"non"| n09["Fin"]
    n08 --> n10["Journalise dans l audit des surcharges"]
    n10 --> n09

8.2 Enquêter sur un incident de facturation#

flowchart TD
    n01["Un client conteste un montant"] --> n02["Journal d audit : filtrer type facturation"]
    n02 --> n03["Rechercher le locataire sur la totalite du journal"]
    n03 --> n04["Lire l abonnement courant du locataire"]
    n04 --> n05["Comparer au catalogue canonique"]
    n05 --> n06{"Le controle de coherence signale un ecart ?"}
    n06 -->|"oui"| n07["L ecart est la cause - corriger la source"]
    n06 -->|"non"| n08["Verifier l audit des surcharges pour ce locataire"]
    n08 --> n09{"Une surcharge explique-t-elle le montant ?"}
    n09 -->|"oui"| n10["Lire le motif enregistre"]
    n09 -->|"non"| n11["Verifier les credits achetes et consommes"]
    n07 --> n12["Reponse documentee au client"]
    n10 --> n12
    n11 --> n12

8.3 Publier une modification de catalogue#

flowchart TD
    n01["Decision tarifaire - role finance"] --> n02["Modifier la source unique du catalogue"]
    n02 --> n03["Nouvelle version de catalogue"]
    n03 --> n04["Semer la base"]
    n04 --> n05["Lire le controle de coherence"]
    n05 --> n06{"coherent ?"}
    n06 -->|"non"| n07["Ne pas publier - resoudre l ecart"]
    n07 --> n04
    n06 -->|"oui"| n08["Verifier prix ET quotas ET credits"]
    n08 --> n09["Publier"]
    n09 --> n10["Verifier la page de prix publique"]

8.4 Accorder un module à un compte#

1. Ouvrir le centre de fonctionnalités.
2. Chercher le locataire.
3. Appliquer la surcharge, avec son motif.
4. Vérifier dans l'audit des surcharges que l'entrée porte : avant, après, acteur, motif.
5. Vérifier côté locataire que le module apparaît.

8.5 Révoquer une clef d'API#

1. Ouvrir les clefs d'API.
2. Lire requêtes sur 30 jours et dernière utilisation : une clef encore active se révoque avec préavis, une clef dormante se révoque immédiatement.
3. Révoquer, avec confirmation.
4. Vérifier dans le journal d'audit que la révocation est enregistrée.

8.6 Approuver une entrée du registre d'IA#

1. Ouvrir le registre à portées, onglet correspondant (compétence, invite ou outil).
2. Lire origine, auteur, licence, empreinte.
3. Si l'origine est « importé d'Internet », appliquer la curation : lecture de la source, jamais d'installation.
4. Passer l'état de revue à approuvé, ou à rejeté avec le motif — le motif d'un rejet est conservé et interrogeable.
5. Régler la diffusion, avec le motif de portée.
6. Activer.

9. Journalisation et traçabilité#

9.1 Ce qui est journalisé#

9.2 Ce qui n'est pas journalisé — ou pas prouvé#

10. Ce qui n'est pas couvert#

Kaxentra — dossier de lancement. Document interne, version 1.0 du 17 août 2026. Marque publique : Kaxentra. Éditeur : i2t Digital. Les éléments marqués [HYPOTHÈSE] ne sont pas publiables en l'état. Les personas d'extension communautaire (E01–E08) décrivent des fonctionnalités non livrées.