Clés de chiffrement gérées par le client

claude "/claude-api tell me about customer-managed encryption keys"

Une « customer-managed encryption key » (clé de chiffrement gérée par le client), ou CMEK, vous permet de provisionner une clé de chiffrement dans votre propre AWS KMS, Google Cloud KMS ou Azure Key Vault et de faire en sorte qu'Anthropic l'utilise pour chiffrer certaines données d'espace de travail au repos. Vous conservez le contrôle total de la clé, y compris la rotation, l'audit et la révocation, et les opérations de clé qu'Anthropic effectue sur votre clé sont enregistrées dans les journaux d'audit de votre fournisseur cloud.

L'utilisation de CMEK est facultative. Les organisations éligibles peuvent choisir d'activer les clés de chiffrement gérées par le client au lieu du chiffrement par défaut fourni par Anthropic. Pour activer CMEK, contactez votre équipe de compte Anthropic.



Fonctionnement

Seuls les administrateurs d'organisation (sur Claude Platform) ou les propriétaires et le propriétaire principal (sur Claude Enterprise) peuvent configurer CMEK. Sur Claude Platform, CMEK est défini par espace de travail et configuré avec l'Admin API. Sur Claude Enterprise, CMEK est défini par organisation et configuré dans claude.ai > Paramètres de l'organisation > Données et confidentialité. Sur l'un ou l'autre produit, CMEK protège les données écrites après l'activation de la clé. Les données existantes (conversations, fichiers et sessions antérieurs) restent chiffrées avec des clés gérées par Anthropic et ne sont pas rechiffrées avec votre clé.

Les événements de configuration CMEK apparaissent dans le flux d'activité de l'API de conformité. Les opérations de clé qu'Anthropic effectue sur votre clé (telles que l'encapsulation et la désencapsulation des clés de données) n'apparaissent pas dans l'API de conformité ; elles apparaissent dans les journaux d'audit de votre fournisseur cloud.

Anthropic appelle votre service de gestion de clés depuis sa plage d'adresses IP publiques standard. Si vous restreignez l'accès à votre service de gestion de clés par IP, autorisez les adresses répertoriées dans Adresses IP.



Prérequis

• Les autorisations pour créer des clés de chiffrement et gérer l'accès aux clés dans le compte, le projet ou l'abonnement qui hébergera la clé de chiffrement.
• Un rôle d'administrateur d'organisation dans la Claude Console sur Claude Platform, ou un rôle de propriétaire ou de propriétaire principal sur Claude Enterprise.
• Configuration de la rétention des données : CMEK est autorisé avec la rétention de données nulle (ZDR) pour Claude Platform et Claude Enterprise.



Disponibilité et régions

CMEK est actuellement disponible uniquement dans les régions des États-Unis, et toutes les opérations de chiffrement sont traitées dans les régions des États-Unis.

Sur Claude Platform sur AWS, CMEK est disponible uniquement avec les clés AWS KMS ; les clés Google Cloud KMS et Azure Key Vault ne peuvent pas être enregistrées. Créez, validez et attachez les clés dans la Claude Console ; les points de terminaison API external_keys ne sont pas actuellement disponibles sur Claude Platform sur AWS. La clé doit se trouver dans la même région AWS que l'espace de travail auquel elle est attachée.

Pour une latence minimale, choisissez une région proche de l'infrastructure américaine d'Anthropic :



Ce que CMEK protège

Ce que CMEK couvre dépend du produit que vous utilisez.



Chiffré

Claude Platform

• Le contenu des messages, les fichiers et pièces jointes (à la fois les pièces jointes en ligne envoyées avec une requête et les téléversements via l'API Files), ainsi que la configuration MCP et des outils.

Claude Enterprise

• Le contenu des conversations, y compris les compétences, les plugins et les artifacts.
• Les pièces jointes des conversations et les pièces jointes des projets.
• Claude Code sur la CLI, y compris le contenu des messages.
• Cowork dans Claude Desktop.
• Les agents Office.
• Claude in Chrome.

Sur les deux produits, les sauvegardes et les instantanés héritent de la clé.



Désactivé ou modifié

Certaines fonctionnalités sont désactivées ou substantiellement modifiées lorsque CMEK est activé. Cette liste n'est pas exhaustive ; examinez-la avec votre équipe avant d'activer CMEK.

Claude Platform

• Le Workbench dans la Claude Console est désactivé.
• Les parties de l'API de conformité qui renvoient du contenu brut, telles que les prompts, les réponses et les fichiers, sont désactivées.
• Les fonctionnalités en bêta et en aperçu de recherche peuvent ne pas être couvertes par CMEK. Cela inclut Claude Managed Agents, une fonctionnalité bêta qui est désactivée dans son ensemble, y compris la mémoire d'agent et le « dreaming » d'agent.

Claude Enterprise

• La recherche dans l'historique des conversations est désactivée. Les titres des conversations sont chiffrés, donc la recherche par titre ou par contenu ne renvoie aucun résultat.
• La recherche dans un grand nombre de fichiers est plus lente.
• L'API Analytics et les analyses intégrées au produit sont dégradées. Certaines vues d'utilisation et certains rapports peuvent être incomplets.
• Les exports de journaux d'audit sont désactivés.
• Les URL signées pour les échanges de fichiers temporaires sont désactivées. Celles-ci prennent en charge les exports de données d'organisation dans claude.ai et les flux de fichiers de Claude Code Remote tels que les mises à jour de captures d'écran.
• Les préférences personnelles sont désactivées pour les utilisateurs qui appartiennent à une organisation protégée par CMEK, dans toutes les organisations sous le même parent. Les utilisateurs qui n'appartiennent pas à une organisation protégée par CMEK peuvent toujours les utiliser dans toutes les organisations.



Non chiffré

Ces fonctionnalités restent disponibles, mais leurs données ne sont pas chiffrées avec votre clé. Vous pouvez désactiver toute fonctionnalité qui n'est pas appropriée pour votre cas d'usage dans Paramètres.

Claude Platform

• Les données qui ne sont pas au repos (comme le cache) et les données avec un TTL inférieur à 24 heures.
• Le flux d'activité, les journaux d'audit et le trafic réseau de télémétrie tel qu'OTEL, afin que les clients puissent maintenir leur conformité même si une clé est révoquée.

Claude Enterprise

• Claude Code Desktop, Claude Code sur le web et Claude in Slack. Anthropic recommande de désactiver ceux qui ne sont pas appropriés pour votre cas d'usage dans la console d'administration.
• Les fonctionnalités en bêta et en aperçu de recherche peuvent ne pas être couvertes par CMEK et peuvent ne pas fonctionner dans les organisations CMEK, par exemple Claude Security et Claude Design.
• L'export de données à la demande sous Paramètres > Confidentialité.

Sur les deux produits, les données de compte des utilisateurs de votre organisation (telles que les noms, les adresses e-mail et les photos de profil) ne sont pas chiffrées avec votre clé.



Prise en charge des fonctionnalités

Les API et outils Claude Platform suivants stockent les données au repos avec votre clé lorsque CMEK est activé :



Conservation limitée en dehors de votre clé

Dans trois cas restreints, Anthropic peut conserver des enregistrements spécifiques sous un chiffrement géré par Anthropic :

• Lorsqu'Anthropic est légalement tenu de conserver des enregistrements (par exemple, du matériel signalé au NCMEC en vertu du 18 U.S.C. § 2258A).
• Risque imminent de préjudice grave (par exemple, développement d'armes CBRNE, cyberattaques offensives ou menaces imminentes de violence).
• Violations de la section D.4 des Conditions commerciales de service d'Anthropic ou de conditions équivalentes dans un autre accord applicable du client avec Anthropic.

En dehors du filtrage CSAM, la conservation nécessite la décision explicite d'un examinateur humain et suit la politique de rétention d'Anthropic pour les données commerciales. Pour chaque cas de conservation, un événement correspondant du flux d'activité de l'API de conformité est généré avec un code de motif indiquant l'objectif de la conservation. Consultez Conservation de contenu CMEK pour plus de détails. Les métadonnées de filtrage de sécurité (enregistrements dérivés des analyses de sécurité automatisées d'Anthropic, tels que les identifiants de motifs et les indicateurs de correspondance, et non le contenu des conversations) sont conservées sous un chiffrement géré par Anthropic et restent lisibles après la révocation de la clé.



Limitations

• Action irréversible : Une fois qu'une clé est attachée à un espace de travail, elle ne peut pas être détachée ou remplacée. Sur Claude Platform, attacher une clé verrouille également le paramètre de rétention des données de l'espace de travail : vous ne pouvez pas désactiver la rétention des données de 30 jours pour cet espace de travail, et revenir à une rétention de données nulle nécessite de créer un nouvel espace de travail et d'y déplacer votre trafic. La rotation du matériel de clé au sein de la même clé (par exemple, la rotation automatique AWS KMS, un calendrier de rotation Cloud KMS ou une politique de rotation Azure Key Vault) est prise en charge de manière transparente et ne nécessite aucun changement chez Anthropic. Passer à une clé différente nécessite de créer un nouvel espace de travail avec la nouvelle clé et de migrer vos données. Révoquer ou désactiver la clé rend toutes les données protégées par CMEK dans cet espace de travail définitivement inaccessibles, sans possibilité de retour en arrière.
• Pas de chiffrement rétroactif : CMEK ne protège que les données écrites après l'activation de la clé.
• Latence : Les opérations qui encapsulent ou désencapsulent des clés de données effectuent un aller-retour vers votre service de gestion de clés, ce qui peut ajouter une petite quantité de « latency » (latence) aux actions qui lisent ou écrivent des données au repos.
• Délai de révocation : La révocation de clé peut prendre jusqu'à 1 heure (le TTL du cache). Les requêtes déjà en cours pendant cette fenêtre peuvent continuer à réussir.
• Coûts KMS : CMEK nécessite une clé dans un service de gestion de clés tiers (AWS KMS, Google Cloud KMS ou Azure Key Vault), ce qui peut entraîner des frais distincts facturés par votre fournisseur KMS.



Configurer votre fournisseur

Suivez le guide correspondant au service de gestion de clés que vous utilisez.