Installé chez vous, ou hébergé par nous en France.

Une VM complète : Debian 13, PostgreSQL, nginx, Kanadr avec son moteur de téléphonie, et la voix de synthèse. En qcow2 pour KVM, Proxmox et OpenStack, en OVA pour VMware et VirtualBox, avec les empreintes SHA-256 à vérifier avant l'import.

Aucun mot de passe dans l'image : la clé SSH et le nom de la machine se donnent au premier démarrage, par cloud-init ou par les propriétés de l'OVA.

La VM tire ses propres secrets (base, accès au moteur de téléphonie, clé de chiffrement), règle la téléphonie et pose le volume des enregistrements. Deux VM issues de la même image ne partagent aucun secret.

Pour une machine où la pile téléphonique est déjà installée : apt install kanadr, puis les réglages décrits dans le guide. L'image reste la voie recommandée.

12 Go au minimum, agrandi au premier démarrage à la taille de la VM. Un second disque vide accueille les enregistrements ; à défaut, un fichier de 50 Go.

kanadr verifier contrôle en lecture seule les réglages, le trousseau, la base, le moteur de téléphonie (profils SIP, tickets d'appel), les fichiers, le portail et le service.

La VM doit annoncer son adresse publique, sinon la voix ne passe que dans un sens. Le guide donne les deux réglages à vérifier.

Un nom pour la machine (pbx.votre-marque.fr) et un domaine joker pour les clients : chacun a son domaine SIP (client.pbx.votre-marque.fr), sur lequel ses téléphones s'enregistrent.

Le vôtre, ou Let's Encrypt avec renouvellement automatique, transmis à chaque fois au portail et au SIP en TLS.

Les liaisons vers des services tiers sortent en TLS depuis la machine : aucun port à ouvrir en entrée pour elles.

Voix G.711 relayée, transcodage G.722 et Opus possible. Une VM accepte 1 000 sessions (environ 500 appels établis) et 100 nouvelles sessions par seconde.

Un par client, par enregistrement ou par adresse IP : format des numéros appelés et présentés, NDI, hôte du P-Asserted-Identity, réseaux du fournisseur. Un profil réunit ce qui est commun à un fournisseur ; le modifier met à jour tous ses trunks.

SIP en TLS 1.2 et 1.3 et voix en SRTP pour les softphones SIP, activés par chaque client en un réglage. Le téléphone dans le navigateur est toujours chiffré.

Piper, installée sur la VM, en français et en anglais : annonces, messagerie et salles de conférence, sans service externe.

Des préfixes internationaux refusés pour tous les clients, renvois compris (les satellites en +882 par exemple). Les numéros d'urgence restent toujours joignables.

Langue réglable par opérateur, par client et par compte : portail, e-mails, annonces et messagerie. Français et anglais livrés, toute autre langue à la demande ; voix de synthèse disponibles dans une trentaine de langues, transcription dans la plupart. Le fuseau horaire de chaque organisation fixe ses horaires d'ouverture, ses dates et ses mois de facturation.

MOS 4,48 tant que le processeur ne sature pas. Au-delà de 250 appels sur 2 vCPU, ou de 125 sur 1 vCPU, elle se dégrade.

Moins de 800 Mo de mémoire à 300 appels. 1 000 téléphones qui se réenregistrent chaque minute font 17 enregistrements par seconde ; une VM de 2 vCPU en absorbe 200.

Au-delà de 75 % de processeur en pointe, ajoutez des vCPU. Enregistrement, transcodage, conférences, sonneries de groupe et files d'attente demandent de la marge.

16 Mo par heure d'appel enregistré (MP3 stéréo) : 50 Go tiennent environ 3 000 heures. Le volume s'agrandit à chaud.

Par apt, depuis notre dépôt signé, vérifié chaque jour. Rien ne s'installe tout seul : la nouvelle version est signalée dans le portail et dans la supervision, vous choisissez le moment. La base est photographiée avant chaque migration, le retour à une version antérieure se fait par apt, et vos réglages ne sont jamais réécrits.

kanadr sauvegarder produit à chaud une archive : base entière, trousseau des clés, enregistrements, messagerie, annonces et musiques. La restauration remplace la base en une transaction ; une archive d'une version plus récente est refusée.

Deux VM et une IP flottante. Base répliquée en continu (quelques secondes de retard au plus), fichiers et clés copiés chaque minute. L'active s'annonce chaque seconde ; après 3 secondes de silence, la passive prend la main. Une VM qui ne joint plus son témoin rend l'IP : jamais deux actives.

Le service revient en moins de deux minutes et les téléphones n'ont pas à se réenregistrer. Les appels en cours sont perdus, et au plus la dernière minute de messages vocaux. L'ancienne active revient en passive, sans retour automatique.

Sur leur propre volume, agrandi à chaud. Plein, il n'empêche que les nouveaux enregistrements : les appels, la base et la messagerie continuent. Alertes à 80 % puis 95 %.

Métriques Prometheus, lues en local ou en HTTPS avec un jeton : version et mise à jour en attente, état du moteur de téléphonie, appels en cours, postes inscrits, trunks par état, licence, webhooks, adresses bannies, volumes, réplication. Alertes de référence fournies.

Trunk d'un client tombé puis rétabli, avec le motif du fournisseur ; licence ; stockage. Une alerte à chaque changement d'état, sans répétition à chaque tentative. Chaque revendeur règle les siennes.

Santé, appels en cours, trace de chaque appel, capture SIP en direct (texte, diagramme en échelle, pcap déchiffré pour Wireshark), rechargement de la configuration sans couper les appels, redémarrage du moteur de téléphonie qui attend la fin des appels.

Mots de passe de 12 caractères au moins, compte bloqué 15 minutes après 5 échecs. Second facteur obligatoire pour vos équipes et vos revendeurs (application d'authentification et codes de secours), clés d'accès (passkeys).

Depuis votre portail, par un jeton JWT signé, à usage unique et valable quelques minutes ; ou par un annuaire OpenID Connect : Microsoft Entra, Google Workspace, Keycloak.

Rattachées à un rôle, jamais plus de droits que la personne qui les crée, avec une date d'expiration si vous voulez, révocables à tout moment. 300 requêtes d'affilée, puis 10 par seconde.

Mots de passe des trunks et du serveur d'e-mails, secrets des webhooks et du second facteur chiffrés en base, jamais renvoyés par l'API. La clé de chiffrement se remplace par une commande.

Chaque action, chaque connexion et chaque refus, avec qui, quand et d'où. Le journal est chaîné : kanadr audit verifier vérifie qu'il n'a pas été altéré.

Après 10 échecs en 5 minutes, une adresse est bannie une heure, pour le SIP et la voix seulement : le portail reste joignable. Liste blanche ; les adresses des trunks et des téléphones inscrits sont épargnées.

Fermé par défaut. Vous l'ouvrez pour 4 heures à 7 jours, il se referme seul, et chaque action de notre assistance figure au journal d'audit.

Chaque version est testée pour qu'un client, un revendeur ou une clé d'API ne lise ni ne modifie rien hors de son périmètre.

Analyse statique (avertissements traités comme des erreurs), audit des dépendances (failles, licences, provenance), recherche de secrets dans tout l'historique, tests sur le vrai moteur de téléphonie à chaque modification, revue de sécurité écrite à chaque version majeure.

Une faille signalée reçoit une réponse sous 3 jours ouvrés. Le correctif arrive par le dépôt apt, et vous êtes prévenus directement, avec la version qui corrige.

Tout ce que fait le portail passe par l'API, décrite en OpenAPI en français et en anglais : revendeurs, clients, numéros, grilles, trunks, diagnostic, réglages. Vos clients ont leur propre documentation, limitée à leurs opérations. Codes d'erreur stables.

Les mêmes opérations pour vos outils d'IA, avec les droits de la clé utilisée.

Signés par un secret. Pour vous : appels du mois écoulé, nouveau client, nouveau poste, trunk tombé ou rétabli. Pour vos clients : nouveau message vocal, appel enregistré. Désactivés après 20 échecs de suite, avec la cause affichée.

Par n'importe quel service compatible avec l'API de transcription d'OpenAI : en ligne (OpenAI, Mistral) ou installé chez vous (Whisper). Chaque message est transcrit dans la langue de son client ; en cas de panne, l'e-mail part sans le texte.

Avec votre clé d'API Claude et un budget mensuel par instance et par client ; au budget atteint, il se met en pause jusqu'au mois suivant. Il propose chaque modification avant de la faire et n'a pas accès à la sécurité des comptes.

Téléphones de bureau configurés à distance par des profils de matériel : Yealink de bureau (T31G à T87W) et DECT (base W70B), adaptateurs Grandstream HT802 et HT812. Un profil livré se duplique pour l'adapter à un autre modèle, et le RPS de Yealink configure un téléphone sorti du carton. Sur ordinateur, le téléphone dans le navigateur, à votre marque, installable (Chrome, Edge, Safari), ou l'application Windows et Mac. Sur mobile, l'application iPhone et Android à vos couleurs, configurée par un code QR.

Vous êtes responsable de traitement pour vos comptes et la facturation ; chaque client l'est pour ses collaborateurs, et vous êtes son sous-traitant. Installé chez vous, nous n'avons accès à aucune donnée ; hébergé par nous, les données restent en France et nous agissons comme votre sous-traitant (article 28). Fiche de traitement type fournie pour votre registre.

Enregistrements six mois au plus, journal des appels un an au moins (CPCE, article L34-1), messages vocaux sans limite par défaut. Réglables par l'opérateur et par client ; la purge passe chaque heure.

Export des données d'une personne en JSON, effacement de son compte, de sa messagerie et de ses enregistrements. Le journal d'audit reste, protégé contre toute modification.

Au journal des appels, les numéros externes peuvent être masqués en partie ; leur affichage complet est réservé à l'admin du client, et tracé.

Aucun transfert hors de l'Union européenne par la plateforme elle-même. La transcription et l'assistant n'en font que si vous réglez un fournisseur qui en fait.

Le relevé quotidien ne compte que des utilisateurs par client, désignés par un identifiant : aucune donnée personnelle ne nous parvient.