P16 — Administrateur de plateforme#

Persona opérationnel interne, non payant. Contexte administration, portail Administration — 230 pages. Aucun forfait. L'autorisation se fait par une matrice route × rôle, à quatre niveaux : none, read, write, admin. Ancrage : apps/portal-admin/src/lib/access/access-matrix.ts ; consommée par access-guard.tsx, admin-sidebar.tsx et plusieurs pages via useCanWrite(). Cas d'usage central de ce document : le contrôle de cohérence du catalogue et l'écart mesuré le 17 août 2026 — forfait Gratuit, crédits d'intelligence artificielle mensuels : 10 servis, 23 en base. Date de relevé : 17 août 2026. Catalogue de référence : 2026-08-12.1.

1. Portrait#

1.1 La fonction#

1.2 Semaine type — huit lignes#

1.3 Ce qui rend cette fonction différente des quinze autres personas#

2. Tâches#

3. Frustrations#

4. Attentes et gains#

5. Réponse produit — douleur vers fonctionnalité réelle#

Lecture honnête. Vingt-huit lignes livrées dont trois avec réserve écrite, trois non livrées et nommées. Le portail Administration est la surface la plus honnête du produit : il annonce ses manques à l'écran plutôt que de les masquer.

5.1 Le cas d'usage central — le contrôle de cohérence du catalogue#

Le mécanisme. Le catalogue canonique est servi tel quel, sans requête de base de données. C'est délibéré : une seconde lecture peut diverger de la première. Servir la définition depuis la source qui a semé la base supprime la possibilité même d'un écart entre ce que la page de prix affiche et ce qui a été semé.

Le service ne se contente pas de servir : il compare le catalogue servi à ce que la base porte réellement, et renvoie tout écart dans la réponse.

État mesuré le 17 août 2026.

Ce que l'administrateur voit. L'écran signale l'écart et désigne le catalogue servi comme faisant autorité, plutôt que de présenter la base comme la vérité.

Ce qu'il doit faire.

1. Trancher lequel des deux est le bon — 10 ou 23.
2. Corriger la source, pas la base : corriger la base laisserait le catalogue servi diverger au prochain déploiement.
3. Semer à nouveau.
4. Relire le contrôle de cohérence.
5. Ne publier que si le contrôle rend true sur prix ET quotas ET crédits.
6. Vérifier la page de prix publique.

Pourquoi c'est critique. Un compte gratuit reçoit aujourd'hui 10 ou 23 crédits selon la couche interrogée. C'est un écart de plus du double sur la ressource la plus coûteuse du produit. Correction requise avant le lancement du 17 novembre 2026.

5.2 La leçon de second ordre — un contrôle qui regarde à côté#

Le contrôle de cohérence, dans sa première version, ne comparait que les prix. Les quotas — sièges, stockage, nombre de clients — n'étaient pas semés en mise à jour, donc pouvaient diverger indéfiniment. Et ce contrôle-là, en ne les regardant pas, certifiait « cohérent » une base qui ne l'était pas.

Mesure du 7 août 2026 : un forfait portait 10 sièges au catalogue et 3 en base, sur les trois environnements, avec un contrôle affichant « cohérent ».

Un contrôle qui regarde à côté est pire qu'aucun contrôle : il rassure.

C'est pourquoi tout contrôle de la plateforme doit désormais énumérer explicitement ce qu'il couvre et ce qu'il ne couvre pas. Cette règle est la contribution la plus durable de ce persona à la qualité du produit, et elle s'applique bien au-delà du catalogue.

6. Semaine type avec Kaxentra#

6.1 Une semaine ordinaire d'exploitation#

6.2 Une publication de catalogue — la procédure#

6.3 Une enquête de facturation — la procédure#

7. Risque évité et temps d'exploitation économisé#

Section adaptée. Ce persona ne produit pas de revenu. La valeur qu'il crée est un risque non réalisé et un temps d'exploitation non consommé.

7.1 Le risque évité, chiffré sur des incidents réels#

7.2 Chiffrage de l'écart actif — formules visibles#

Écart unitaire de dotation
  = crédits en base - crédits servis
  = 23 - 10
  = 13 crédits par compte gratuit et par mois

Écart en proportion
  = 23 / 10
  = 2,30 fois la dotation nominale, soit +130 %

Coût variable d inférence associé
  hypothèse H09 du brief commun : 2,10 $ par mois pour un compte actif
  à dotation nominale de 10 crédits
  coût unitaire dérivé
    = 2,10 $ / 10
    = 0,21 $ par crédit                              [HYPOTHÈSE, dérivée de H09]

Surcoût mensuel par compte gratuit actif
  = 13 crédits x 0,21 $
  = 2,73 $                                           [HYPOTHÈSE]

À 1 000 comptes gratuits actifs
  surcoût mensuel   = 1 000 x 2,73 $ = 2 730,00 $    [HYPOTHÈSE]
  surcoût annuel    = 2 730 $ x 12   = 32 760,00 $   [HYPOTHÈSE]

À 5 000 comptes gratuits actifs
  surcoût annuel    = 163 800,00 $                   [HYPOTHÈSE]

Effet de l hypothèse H03 du brief commun
  taux de conversion Gratuit vers payant = 4 % à 12 mois
  => 96 % des comptes gratuits ne compensent jamais ce surcoût

Lecture prudente. Ces montants dépendent entièrement du volume de comptes gratuits actifs, qui n'est pas encore mesuré. Ils ne sont pas publiables. Ils servent à une seule chose : établir que l'écart n'est pas cosmétique, et qu'il justifie de bloquer une publication.

7.3 Le temps d'exploitation économisé#

Fréquences annuelles [HYPOTHÈSE]
  incidents qualifiés            = 120 x 24,8 min =  49,6 h
  contestations de facture       =  48 x  2,6 h  = 124,8 h
  recherches d événement anciens =  90 x 43 min  =  64,5 h
  pièces pour vérificateur       =  12 x  1,9 h  =  22,8 h
  questions sur une surcharge    =  36 x  1,4 h  =  50,4 h
  vérifications de catalogue     =  12 x 58 min  =  11,6 h
  diagnostics de locataire       =  96 x 32 min  =  51,2 h

Total économisé
  = 374,9 h par année                              [HYPOTHÈSE]

En équivalent de poste, sur 1 700 h
  = 374,9 / 1 700
  = 22 % d un poste d exploitation                 [HYPOTHÈSE]

7.4 Ce qui n'est pas chiffré, et pourquoi#

8. Canevas de création de valeur#

flowchart LR
    d1["Prix affiché divergent du prix facturé"] --> f1["Catalogue canonique servi sans requête de base"]
    d2["Écart entre catalogue servi et base"] --> f2["Contrôle de cohérence sur six champs"]
    d3["Contrôle qui certifie une base incohérente"] --> f3["Énumération de ce que le contrôle couvre"]
    d4["Surcharge accordée sans raison"] --> f4["Audit des surcharges avec motif"]
    d5["Zéro fabriqué quand la source manque"] --> f5["Affichage explicite du non mesuré"]
    d6["Capacité d IA activée sans revue"] --> f6["Contrainte de base liant activation et revue"]
    d7["Coût d IA découvert sur la facture"] --> f7["Tarifs dérivés et coût par appel"]

    f1 --> v1["Ne jamais facturer ce qui n a pas été vendu"]
    f2 --> v1
    f3 --> v2["Un contrôle qui ne rassure pas à tort"]
    f4 --> v3["Qui a changé quoi, quand et pourquoi"]
    f5 --> v2
    f6 --> v4["Aucune capacité en service sans humain nommé"]
    f7 --> v5["Le coût de l IA piloté avant la facture"]

    v1 --> o1["Persona interne sans forfait, autorisation par matrice route et rôle"]
    v2 --> o1
    v3 --> o1
    v4 --> o1
    v5 --> o1

9. Canevas de la proposition de valeur#

10. Objections#

Ces objections ne sont pas commerciales : ce sont celles que la direction, un vérificateur ou un client posent à l'équipe d'exploitation.

11. Périmètre de responsabilité et niveaux d'accès par rôle#

Section adaptée. Ce persona n'achète rien. Ce qu'il faut définir, ce n'est pas une offre : c'est qui peut faire quoi.

11.1 Les quatre niveaux#

11.2 Les rôles et leur périmètre#

11.3 Les routes les plus sensibles et leur matrice#

11.4 Ce que cette matrice dit du produit#

La séparation des pouvoirs sur le prix est réelle. Le rôle le plus puissant du portail — administrateur de plateforme — a un niveau inférieur au rôle finance sur la grille tarifaire. Ce n'est pas un oubli : c'est une séparation délibérée entre « qui administre la plateforme » et « qui fixe les prix ». Trois rôles sur cinq n'ont aucun accès à cette page.

Le repli d'une route non inscrite est admin. Une route absente de la matrice n'est pas fermée : elle est ouverte au niveau le plus élevé, pour tous les rôles. C'est un défaut silencieux dans le sens dangereux. La parade est procédurale : toute nouvelle route sensible s'inscrit dans la matrice au moment où elle entre au menu, jamais après.

Le portail est plus restrictif ou aussi restrictif que le serveur, jamais plus permissif. Les points d'entrée d'écriture du catalogue sont gardés côté serveur par une exigence de rôle de royaume. La matrice est un second verrou ; elle n'agit pas à elle seule.

11.5 Réglages globaux et leur risque#

12. Indicateurs de succès#

13. Messages de recrutement pour ce rôle#

Section adaptée. Ce persona ne se vend pas : il se recrute.

13.1 Cinq accroches courtes#

1. Ici, un tableau de bord qui n'a pas mesuré affiche —, jamais 0.
2. Le refus est journalisé au même titre que le succès.
3. Un contrôle qui regarde à côté est pire qu'aucun contrôle.
4. Le rôle le plus puissant n'a pas le droit de changer un prix.
5. Une capacité d'IA ne s'active pas sans qu'un humain nommé l'ait approuvée.

13.2 Trois messages longs#

1. Nous cherchons quelqu'un pour qui « je n'ai pas pu mesurer » est une information, pas un échec à masquer. Notre portail d'administration affiche — là où d'autres afficheraient 0, distingue « non évalué » de « non conforme », et écrit dans l'écran ce que ses propres contrôles ne couvrent pas. Si cette exigence vous paraît normale, vous êtes rare.
2. Le 7 août 2026, un contrôle de cohérence nous a certifié qu'un catalogue était correct. Il ne regardait que les prix. Un forfait portait 10 sièges au catalogue et 3 en base, sur trois environnements. Nous en avons tiré une règle qui gouverne désormais toute la plateforme : tout contrôle énumère ce qu'il couvre et ce qu'il ne couvre pas. Le poste consiste à faire vivre cette règle.
3. Une action de ce portail peut toucher tous les locataires à la fois. C'est pour cela que le rôle finance a, sur la grille tarifaire, un niveau supérieur à celui de l'administrateur de plateforme. Nous ne cherchons pas quelqu'un qui veut tous les droits. Nous cherchons quelqu'un qui comprend pourquoi il ne devrait pas les avoir.

13.3 Deux messages de diffusion#

1. Poste d'exploitation de plateforme. Vous tiendrez le catalogue, les droits, la preuve et le coût de l'intelligence artificielle d'une plateforme financière. Vous bloquerez des publications. On vous en remerciera.
2. Nous cherchons quelqu'un qui refuse les zéros fabriqués. Exploitation de plateforme, quatre personnes, cinq familles de rôles, 230 écrans.

13.4 Objet de courriel#

Un contrôle qui regarde à côté est pire qu'aucun contrôle

14. Ce que Kaxentra ne fait pas pour ce persona#

1. Le portail ne produit aucun traçage distribué. L'écran affiche « Traçage distribué non configuré » et renvoie vers les métriques système et le journal d'activité. Le diagnostic de latence entre services est donc impossible depuis ce portail.
2. Le bouton « Exporter le rapport » de l'administration de la vie privée ne produit aucun fichier. Il affiche seulement une notification. C'est une porte peinte, et aucun autre export du portail ne se comporte ainsi. Correction inscrite avant le lancement du 17 novembre 2026.
3. Le portail ne prouve pas l'effet d'un ordre de gouvernance d'agent. Une pause, un arrêt ou une reprise se demandent et se journalisent avec motif, mais la colonne « effet constaté par rapport au demandé » porte la mention non prouvé.
4. Les règles de garde-fou de type sentiment et toxicité ne sont pas appliquées : aucun évaluateur n'est déployé. Les actions « avertir » et « journaliser » ne sont pas appliquées par le moteur. L'avertissement existe à l'écran, mais la règle reste créable — ce qui est un défaut de conception à corriger.
5. Le portail ne modifie pas les politiques d'authentification. Elles se lisent telles qu'elles s'appliquent, sans valeur de repli, mais se changent dans le fournisseur d'identité. C'est un choix de source unique assumé, au prix de deux outils à connaître.
6. Le portail ne mesure pas la performance des modèles d'apprentissage automatique. Une dérive de modèle serait invisible depuis cet écran.
7. Le portail n'a aucune source pour la tendance des locataires, les appels par service et l'entonnoir de conversion. Les trois écrans le disent explicitement plutôt que d'afficher un graphique vide — mais l'absence de mesure reste une absence.
8. Le portail ne ferme pas une route qui n'y est pas inscrite. Le repli d'une route absente de la matrice est le niveau le plus élevé, pour tous les rôles. La garde est l'inscription elle-même, donc une garde procédurale, pas structurelle.
9. Le portail n'offre pas l'authentification à deux facteurs à ses propres administrateurs. Elle est explicitement non implémentée sur l'ensemble du produit. Pour une console dont une action touche tous les locataires, c'est l'écart le plus lourd de tout ce document.

Kaxentra — dossier de lancement. Document interne, version 1.0 du 17 août 2026. Marque publique : Kaxentra. Éditeur : i2t Digital. Les éléments marqués [HYPOTHÈSE] ne sont pas publiables en l'état. Les personas d'extension communautaire (E01–E08) décrivent des fonctionnalités non livrées.