# Ondes PRO Drive : un stockage chiffré que même l’IA ne lit pas

> Le Drive d’Ondes PRO est chiffré de bout en bout, même pour l’IA connectée par MCP. Elle organise et mesure ; le contenu ne s’ouvre qu’avec votre clé.

Mis à jour le 2026-10-21 · L’équipe Ondes PRO · https://ondes.pro/fr/integrations/mcp/modules/drive

Le **Drive d’Ondes PRO** est **chiffré de bout en bout** : vos fichiers sont chiffrés dans votre navigateur avant d’être envoyés, et le serveur ne garde que du contenu illisible. Connecté par le **serveur MCP**, votre assistant IA peut vous aider à mesurer et organiser votre Drive — volumes, types, dates, partages, corbeille — mais il **ne lit pas le contenu de vos fichiers**. Pour les développeurs, une **clé d’application** approuvée par l’utilisateur permet de coder un client Drive complet, sans que le serveur puisse jamais rien déchiffrer.

## Faire de la place dans le Drive, sans rien ouvrir

_Exemple de conversation · données de démonstration (Atelier Lumen)_

> **Vous** : Notre stockage est presque plein. Qu’est-ce qui prend de la place dans le Drive ?
>
> 🔧 `ondes_appeler` `GET drive/fichiers` avec `ordering=-file_size` — les plus gros fichiers d’abord, avec type, taille et date de dépôt.
>
> 🔧 `ondes_appeler` `GET drive/fichiers/corbeille/` — 41 éléments dans la corbeille.
>
> **Assistant** : Les **9 vidéos** déposées en mars pèsent à elles seules **6,8 Go**, soit plus de la moitié du Drive. La corbeille contient encore **3,1 Go**. Le Drive étant chiffré de bout en bout, je ne peux pas ouvrir ces fichiers pour vous dire ce qu’ils contiennent : le plus simple est de les trier depuis l’écran Drive. Voulez-vous que je vide la corbeille ? C’est définitif.
>
> **Vous** : Non, laisse-la. Je regarde les vidéos.
>
> **Assistant** : Entendu. Pour mémoire, la corbeille se vide d’elle-même : chaque élément y reste 30 jours, puis il est supprimé et sa place est libérée.

## Une IA peut-elle accéder à un Drive chiffré de bout en bout ?

Oui pour l’organisation, non pour le contenu. Le chiffrement de bout en bout du Drive d’Ondes PRO repose sur une clé qui ne quitte jamais vos appareils : le serveur ne la possède pas, donc il ne peut rien déchiffrer — ni pour lui, ni pour une intelligence artificielle qui passerait par lui. Un assistant connecté par MCP voit les **métadonnées** que le serveur connaît : tailles, types, dates, emplacement dans les dossiers, partages, corbeille.

C’est une force, pas une limite : ce que vous rangez dans le Drive ne peut pas sortir par une connexion IA mal réglée, un jeton dérobé ou une erreur de l’assistant. L’outil `ondes_impossible` le dit d’ailleurs à l’assistant dès le départ — l’API ne déchiffre rien côté serveur — pour qu’il ne promette jamais un résumé qu’il ne peut pas faire. Les détails de l’architecture sont sur la page [sécurité](https://ondes.pro/fr/security).

## Les ressources Drive de l’API, et ce qu’elles servent

Le contenu est servi chiffré : seul un client qui détient la bonne clé peut le lire.

| Ressource | Rôle | Ce qui est chiffré |
| --- | --- | --- |
| `drive/fichiers` | Fichiers : liste, dépôt, remplacement, déplacement, corbeille | Le contenu et la clé de chaque fichier |
| `drive/dossiers` | Arborescence des dossiers | Les informations protégées du dossier |
| `drive/partages` | Partages d’un fichier avec une personne | La clé du fichier, enveloppée pour le destinataire |
| `drive/partages-societe` | Partage d’un fichier à toute une société | Une enveloppe par membre |
| `drive/cles-application` | Demandes et approbation des clés d’application | La clé du Drive, enveloppée pour l’application |

Les octets d’un fichier transitent en HTTP direct, jamais par le serveur MCP : celui-ci documente et manipule les métadonnées.

## Pour les développeurs : la clé d’application

Vous voulez coder votre propre client Drive — une synchronisation avec un poste de travail, un archivage automatique, une application métier ? Le mot de passe de chiffrement de l’utilisateur n’a pas à passer par votre code. Votre intégration engendre sa propre paire de clés, puis **demande une clé d’application**. L’utilisateur l’approuve dans son navigateur, le seul endroit où sa clé privée est déverrouillée, après avoir comparé une **empreinte** affichée des deux côtés.

À l’approbation, le navigateur enveloppe la clé du Drive pour votre application ; le serveur range cette enveloppe sans pouvoir l’ouvrir. Votre clé API, liée à cette clé d’application, peut alors lister et déchiffrer les fichiers, en déposer, les remplacer, les déplacer, les partager avec une signature vérifiable, ou en publier une copie en clair. Deux gestes restent réservés au navigateur de l’utilisateur : accepter un partage reçu et approuver une autre application.

## Relier une application au Drive chiffré

Votre assistant de code obtient la recette complète avec `ondes_exemple` et la section dédiée du guide avec `ondes_guide`.

1. **Engendrez la paire de clés de l’application** — Votre intégration crée sa paire Curve25519 et garde sa clé privée pour elle. Seule la clé publique est envoyée à Ondes PRO.
2. **Demandez l’approbation** — L’appel `drive/cles-application/demander/` enregistre la demande et rend l’adresse d’approbation à ouvrir par l’utilisateur.
3. **L’utilisateur compare l’empreinte et approuve** — Dans **API & Développeurs → Clés d’application**, il vérifie que l’empreinte affichée est celle de votre application, puis approuve. Son navigateur enveloppe la clé du Drive pour vous.
4. **Appelez l’API avec la clé liée** — Une clé API qui porte la clé d’application approuvée reçoit le contenu chiffré ; votre code le déchiffre localement. Une clé API seule, sans clé d’application, ne reçoit rien.

> **Révoquer coupe l’accès, pas la connaissance** — Nous préférons le dire clairement : révoquer une clé d’application lui retire immédiatement l’accès au Drive. Mais la clé du Drive qu’elle a reçue ne change pas — une application qui l’aurait copiée la connaît toujours. N’approuvez donc que des applications de confiance, et vérifiez toujours l’empreinte.

## Ce que le Drive chiffré garantit, avec ou sans IA

- **Le serveur ne déchiffre rien** : ni pour un administrateur, ni pour l’assistant intégré, ni pour un assistant connecté par MCP.
- **Les fichiers ne sont jamais servis publiquement** : ils sont rangés hors de l’espace des fichiers publics de l’instance. Publier un fichier, c’est en déposer volontairement une copie en clair.
- **Corbeille de 30 jours** : une suppression est rattrapable, puis l’élément est purgé automatiquement.
- **Partages suspendus, pas effacés** : un fichier mis à la corbeille n’est plus servi à ses destinataires, et retrouve ses partages s’il est restauré.
- **Partage de dossiers et à toute une société** : préparés par le navigateur du propriétaire, qui seul peut envelopper les clés.

## Aller plus loin

- [Stockage d’objets & CDN](https://ondes.pro/fr/integrations/mcp/modules/stockage-cdn) — Des buckets de fichiers servis par un CDN, que votre assistant de code crée et alimente pour vos sites.
- [Sécurité du serveur MCP](https://ondes.pro/fr/integrations/mcp/securite) — OAuth 2.1, jetons courts, révocation immédiate et garde-fous d’écriture : ce que votre DSI doit savoir.
- [Construire une intégration](https://ondes.pro/fr/integrations/mcp/guides/construire-une-integration) — Clés à portées, webhooks signés, idempotence et mode test pour un back-office qui ne crée jamais de doublon.
- [API REST v1](https://ondes.pro/fr/integrations/api-rest) — Environ 135 ressources REST, des clés à portées, un schéma OpenAPI et des webhooks signés.

## Questions fréquentes

### L’IA connectée par MCP peut-elle lire mes fichiers du Drive ?

Non. Le Drive d’Ondes PRO est chiffré de bout en bout : le serveur ne possède pas la clé et ne peut rien déchiffrer, donc un assistant qui passe par lui non plus. Il voit des métadonnées comme les tailles, les types, les dates, les partages et la corbeille.

### Alors à quoi sert le serveur MCP pour le Drive ?

À organiser et mesurer : repérer ce qui occupe l’espace, consulter la corbeille, vérifier les partages. Et, pour un développeur, à obtenir la documentation et la recette exactes pour coder un client Drive qui déchiffre localement grâce à une clé d’application.

### Qu’est-ce qu’une clé d’application ?

Une autorisation donnée par l’utilisateur, dans son navigateur, à une application précise : le navigateur enveloppe la clé du Drive pour la clé publique de l’application. L’application peut alors déchiffrer les fichiers localement, sans jamais connaître le mot de passe de chiffrement.

### Que se passe-t-il si je révoque une clé d’application ?

Elle perd immédiatement l’accès au Drive par l’API. En revanche, la clé du Drive qu’elle a reçue ne tourne pas : une application qui l’aurait conservée la connaît toujours. D’où l’importance de vérifier l’empreinte avant d’approuver.

### Peut-on transférer des fichiers par le serveur MCP ?

Non. Les octets d’un fichier transitent en HTTP direct vers l’API. Le serveur MCP documente et manipule les métadonnées ; il indique à l’assistant de télécharger les contenus binaires directement.

### Le Drive chiffré est-il inclus dans toutes les offres ?

Oui. Le Drive, son chiffrement de bout en bout et le serveur MCP sont inclus dans toutes les offres Ondes PRO ; seul l’espace de stockage varie selon l’offre. Voir [les tarifs](https://ondes.pro/fr/pricing).