Deux champs, zéro réécriture.

1 · En deux champs

Champ	Valeur
Base URL	https://api.wonkom.ai/v1
Clé	mn_<jeton>.<clé_amont_du_client> (clé composite fournie à l'onboarding)

Exemple (curl, CLI) :

curl https://api.wonkom.ai/v1/chat/completions \
  -H "Authorization: Bearer mn_<jeton>.<clé_amont>" \
  -H "Content-Type: application/json" \
  -d '{"model":"openai/gpt-4o-mini","messages":[{"role":"user",
       "content":"Bonjour, je m'appelle Aminata Diop, mon téléphone est le 77 123 45 67."}]}'

• Open WebUI : Settings → Connections → OpenAI API → Base URL + clé.
• LibreChat : endpoint OpenAI personnalisé, même couple.
• La clé composite est découpée sur le premier point : le jeton mn_… (auth) et la clé amont (réinjectée uniquement en header vers votre fournisseur — jamais en URL, jamais en log).

2 · Multi-tenant (intégration directe)

Votre jeton est émis pour un tenant. Si votre jeton appartient à un autre tenant que la plateforme, ajoutez le header de routage (non secret) :

X-Cloison-Tenant: <votre-tenant>

Un jeton n'est accepté que dans son tenant — fail-closed, jamais de fuite inter-tenant (charte §7.2).

3 · Endpoints

Endpoint	Rôle
POST /v1/chat/completions	chat (stream + non-stream, tool-calls) — le corps est tokenisé à l'aller, restauré au retour
POST /v1/completions	legacy non-stream
GET /v1/models	pass-through amont après auth
GET /v1/audit/report?period=…	rapport de conformité k-anonyme (mode audit observe-only)

Erreurs normalisées (shape OpenAI) : 401 invalid_api_key · 400 invalid_request_error · 413 request_too_large · 429 rate_limit_exceeded · 502 upstream_error — le message ne contient jamais de secret.

4 · Rapport de conformité (k-anonyme)

Sur demande (mode audit observe-only activé pour votre tenant), le rapport GET /v1/audit/report fournit, par période (hourly|daily|weekly|all) :

• compteurs k-anonymes par type de PII détectée ;
• restaurations incomplètes et sorties bloquées ;
• jauges quasi-id — signés (Ed25519, vérifiables avec le code public) et présentables : aucun texte, aucune valeur isolée < k (les cellules < k sont redactées).

5 · CLI ops (cloison-cli)

Outillage d'administration pour l'opérateur (provisioning de tenant, jetons, politiques, licences, santé du journal). Le clair mn_ n'est affiché qu'une seule fois, à l'émission — jamais journalisé :

cloison-cli provision acme --nom "Acme SARL" --plan pro
cloison-cli token issue acme               # clair affiché UNE fois
cloison-cli token verify acme mn_<jeton>   # seul le hash transite
cloison-cli token rotate acme tok-<id>     # ancien jeton: grâce de 300 s
cloison-cli token revoke acme tok-<id>     # révocation immédiate
cloison-cli policy set acme policy.json
cloison-cli license add acme --plan enterprise --expires_at 1893456000
cloison-cli ledger root                    # santé du journal public

Flux d'onboarding scripté : deploy/onboard_client.sh (provision → émission → vérification par hash → livraison de la clé composite).

6 · Variables de configuration (N0)

Référence des principales variables CLOISON_* (mode daemon local) :

Variable	Rôle
CLOISON_VAULT_PATH	active le mode N0 — coffre redb persistant chiffré AES-256-GCM
CLOISON_VAULT_PASSPHRASE	clé du coffre (HKDF) — requise, jamais stockée en clair
CLOISON_EXPECTED_ACCESS_TOKEN	jeton mn_* local — comparé à temps constant, zéro appel au plan de contrôle
CLOISON_UPSTREAM_BASE_URL	votre fournisseur LLM
CLOISON_AUDIT_MODE	0 par défaut — l'audit k-anonyme vers le journal est opt-in (=1)
CLOISON_VAULT_KEYCHAIN_SERVICE	posé = passphrase via le keychain OS (jamais en clair par CLOISON)
CLOISON_NER_MODEL_ONNX + CLOISON_NER_TOKENIZER	NER léger embarqué (PERSON/LOC in-core)
CLOISON_ALIAS_EXPANSION	alias intra-session (1 par défaut — R1–R7, jamais les pronoms)
CLOISON_QUASI_ID_GAUGE	jauge quasi-id (0 par défaut, opt-in — signal, jamais de résolution)