Multitenant — Quick Reference

Trois tiers d'isolation

tenant_id

Cinq invariants non-négociables

1. tenant_id

   propagé à chaque requête (AsyncLocalStorage / SecurityContext / middleware).
2. PostgreSQL Row-Level Security (RLS) activé sur TOUTES les tables. Filet de sécurité contre un oubli applicatif.
3. Tests d'isolation obligatoires. Tenant A ne doit jamais lire/écrire les données de B — y compris via tri, requête nuée, agrégat.
4. Audit trail isolé par tenant. Pas de log multi-tenant cross-référencé sans permission explicite.
5. Field-level encryption sur PII / secrets sensibles (Halite PHP, Eloquent Casts, libsodium).

Pattern minimal — Shared schema + RLS

ALTER TABLE invoices ADD COLUMN tenant_id UUID NOT NULL;
ALTER TABLE invoices ENABLE ROW LEVEL SECURITY;
CREATE POLICY tenant_isolation ON invoices
  USING (tenant_id = current_setting('app.tenant_id')::uuid);

// Symfony — middleware qui set la variable session pour RLS
$conn->executeStatement(
    'SET LOCAL app.tenant_id = :tid',
    ['tid' => $tenantId]
);

Anti-patterns critiques

• ❌ Oublier le filtre

  tenant_id

  dans une requête raw → fuite cross-tenant.
• ❌ Cache Redis sans préfixe tenant → données de A retournées à B.
• ❌ Job worker async qui perd le

  tenant_id

  → impossible de retrouver le contexte.
• ❌ Signed URLs / tokens sans

  tenant_id

  dans le payload → utilisable cross-tenant.
• ❌ Field encryption avec une clé unique partagée → compromission = exposition totale (préférer keys per tenant).

RBAC / ABAC

• RBAC : rôles globaux (

  admin

  ,

  member

  ,

  viewer

  ) suffisent pour 80 % des cas.
• ABAC : passer à des policies (Casbin, Cerbos, OPA) quand les règles dépendent d'attributs (région, montant, statut).

Pour aller plus loin

Patterns détaillés par tier, migration tier 1 → tier 2 sans downtime, tests d'isolation (Pest + tenant fixtures), RBAC/ABAC, exemples Laravel + Symfony, checklists par phase : voir

@.claude/skills/multitenant/REFERENCE.md

.