Une clé tourne sur les clusters payés, et pas sur un de plus.

Mis à jour : 14 octobre 2026

Chaque édition est sous licence, la gratuite comprise

La Community Edition utilise une clé, activée comme pour toute autre édition. La différence tient à la clé, pas à la procédure : une clé Community n'expire pas, une clé payante si.

Ce n'est pas une affaire de comptabilité. Tout ce qu'une installation a le droit de faire figure dans le certificat qu'elle a reçu : ses fonctions, son quota mensuel de noms d'image, son nombre de frameworks et de clusters. Une installation sans certificat n'est pas une installation gratuite ; c'est une installation sans réponse à cette question, et la seule façon de la servir serait de supposer une réponse. Une supposition ne se compte pas, ne se lie pas à un cluster et ne se retire pas. Il n'existe donc pas de mode sans licence : l'édition gratuite est gratuite à cause de ce que dit sa clé, pas parce qu'elle n'en a pas.

Dans les deux cas, ce sont les trois mêmes étapes. Créez un compte sur attestkeep.com, prenez la clé gratuite ou achetez le plan voulu, puis saisissez cette clé dans votre propre console. Rien d'autre avant : aucun appel commercial avant l'offre gratuite, aucun formulaire à remplir avant d'installer.

À quoi une clé est liée

L'activation est un échange unique par cluster. L'installation envoie sa clé d'activation et une empreinte du cluster où elle tourne ; nous lions la clé à cette empreinte et renvoyons un certificat signé qui contient l'empreinte.

Une clé se lie à autant de clusters que le plan en paie. Community et Team en comprennent 1, Business 3, Enterprise 5 ; des slots supplémentaires s'achètent au checkout jusqu'à 10, et au-delà de 10, il faut un accord sur mesure. Activer un quatrième cluster avec une clé prévue pour trois est refusé, et le refus indique lequel des deux cas se présente : votre quota est épuisé et vous pouvez acheter un cluster de plus, ou l'un des trois est un cluster que vous n'avez plus et que vous pouvez libérer.

Ensuite, à chaque démarrage, l'operator vérifie trois choses sans que rien ne quitte le cluster : que la signature est la nôtre, que le certificat n'a pas expiré, et que l'empreinte qu'il contient correspond au cluster où il tourne réellement. Un certificat copié sur un cluster pour lequel il n'a pas été émis échoue au troisième contrôle, localement et hors ligne, sans nous appeler. La liaison n'est pas une consultation faite à la demande ; elle fait partie de ce que nous avons signé.

L'empreinte est un hash de l'identifiant du namespace kube-system de votre cluster. Elle naît avec le cluster et ne change pas de toute sa vie. Supprimer puis réinstaller l'operator ne la change pas ; une réinstallation ne demande donc rien de notre part. Construire un nouveau cluster la change, et c'est l'objet de la section sur le transfert d'une licence.

Votre quota de clusters, et ce qu'il en reste

Une clé porte un quota plutôt qu'une liaison unique, et chaque activation en consomme un slot. Achetez trois clusters : la première installation en laisse deux, la deuxième un, la troisième aucun. La même clé à chaque fois, pas de seconde clé à suivre.

Ce qui reste, vous n'avez pas à le retenir. Votre compte affiche la clé, les clusters qui occupent ses slots avec la date d'activation de chacun, et le nombre de slots libres ; l'operator indique la même chose sur son propre écran de licence dès qu'il est activé. Un quota épuisé n'est pas une erreur. Il a deux réponses ordinaires : libérer un slot inutilisé, ou en ajouter un.

On peut ajouter des clusters à une clé déjà acquise, depuis votre compte, sans toucher aux installations en cours. Le quota augmente, et c'est le contrôle quotidien suivant qui le remarque : une modification de votre achat fait partie de ce qui déclenche l'émission d'un nouveau certificat, si bien qu'en un jour chaque cluster porte le nouveau chiffre, de lui-même.

Pourquoi seul le nombre de clusters a besoin de nous

Votre quota mensuel de noms d'image et votre nombre de frameworks sont comptés par l'operator dans votre propre cluster, parce que tout ce qu'ils mesurent s'y passe. Ces deux limites n'ont pas besoin de nous, et rien les concernant n'est envoyé. Il en va de même du plafond de nodes : il figure dans le certificat et se vérifie dans le cluster par rapport à son propre décompte de nodes Ready.

Le nombre de clusters est d'une autre nature. Un operator qui tourne dans un cluster n'a aucun moyen de savoir que la même clé tourne aussi dans deux autres : aucun point de vue à l'intérieur d'un cluster ne permet de voir les autres. Le seul endroit qui puisse conserver ce chiffre est le côté qui a émis la clé et qui détient les liaisons.

Le contrôle quotidien n'est donc pas une formalité autour d'une licence qui tiendrait sans lui. C'est ce qui garantit une ligne que nous vendons réellement ; l'alternative serait d'afficher sur la grille tarifaire un nombre de clusters que rien ne fait respecter. Un cluster qui reçoit un certificat hors ligne au lieu de se présenter au contrôle consomme son slot au moment où ce certificat est émis : le même chiffre, tenu du même côté.

Le contrôle quotidien

Une fois par jour, une installation connectée vérifie sa licence auprès de nous, et reçoit un certificat neuf quand quelque chose a changé ou que celui qu'elle détient arrive à échéance. On ne peut pas la configurer pour s'en passer : aucun réglage ne le permet, ni dans le chart ni ailleurs. Une licence à laquelle on peut dire d'arrêter de vérifier n'est appliquée que par celui qui l'a installée, autrement dit pas du tout. La seule installation qui ne vérifie jamais est celle qui détient un certificat hors ligne, et ce n'est pas un réglage non plus : nous l'avons émis, sur une demande que nous avons vue, pour un cluster dont il a consommé le slot.

Le contrôle envoie trois valeurs, et aucune autre :

• l'identifiant de licence,
• l'empreinte du cluster décrite plus haut,
• la version de l'operator.

Il n'envoie aucun nom d'image, aucun résultat de scan, aucun identifiant CVE, aucun nom de workload ou de namespace, aucune topologie de cluster, aucun compte utilisateur, rien de votre base de données. Il ne le peut pas : les limites d'images et de frameworks sont comptées dans votre cluster, ces chiffres n'ont aucune raison d'en sortir et aucun chemin de code ne les transporterait. Ce qui circule suffit à répondre à une seule question : cette licence a-t-elle encore le droit de tourner sur ce cluster ? Rien n'y répondrait à une deuxième.

Les champs exacts, leur durée de conservation et la base légale figurent dans la politique de confidentialité.

Vous achetez un an, le certificat dure un mois

Les plans se vendent au mois ou à l'année. Le certificat d'une installation connectée n'est jamais aussi long : il vaut trente jours au plus et il est remplacé par un neuf bien avant d'expirer. Rien ne change pour votre abonnement. L'échéance qui figure sur la facture est celle que vous avez payée ; le certificat se renouvelle discrètement en dessous. Le certificat hors ligne fait exception et couvre toute la durée, car rien ne viendra derrière lui pour le renouveler.

Le contrôle quotidien et le certificat sont deux choses distinctes, et une seule a lieu chaque jour. Le contrôle pose une question et reçoit le plus souvent « toujours valide », ce qui ne change rien et ne coûte rien. Un nouveau certificat est émis dans deux cas : quand quelque chose a vraiment changé (vous avez ajouté des clusters, en avez libéré un, avez renouvelé ou résilié), ou quand celui en main a moins de dix jours devant lui. Une installation n'a donc jamais moins d'une dizaine de jours de marge ni plus de trente, et personne ne signe et ne stocke un nouveau certificat chaque matin sans raison.

Si le plafond est de trente jours, c'est qu'un certificat signé est une promesse que nous ne pouvons pas reprendre. Inscrivez-y un an et nous avons cédé un an : une résiliation, un remboursement, une rétrofacturation ou une licence transférée sur un autre cluster devraient attendre la fin de cette année pour prendre effet. Trente jours, c'est le plus longtemps que nous acceptons de ne pas pouvoir changer d'avis. C'est aussi le plus longtemps que vous pouvez rester déconnecté. Ce n'est pas une coïncidence : c'est le même chiffre vu des deux côtés.

En fin de période, le certificat ne dépasse jamais l'abonnement auquel il appartient. Le dernier est raccourci pour finir avec votre année ; une licence ne survit donc jamais à ce qui l'a payée. Renouvelez, et le contrôle suivant rétablit les trente jours.

Hors ligne, pour un temps ou pour toujours

Deux situations se cachent derrière une même phrase : un cluster qui a perdu sa route un moment, et un cluster qui n'en aura jamais. Elles n'ont pas la même réponse.

Un cluster normalement connecté. Il ne se passe rien pendant dix jours à un mois, selon la durée qui restait au certificat au moment de la coupure. Un contrôle échoué est retenté quelques heures plus tard plutôt que le lendemain ; une fenêtre de maintenance, un changement de firewall ou un après-midi de routage défaillant n'atteignent jamais l'installation sous forme d'événement de licence. Deux semaines de ce genre non plus.

Cela ne passe pas inaperçu pour autant. Après une semaine sans route vers nous, la console le signale et décompte les jours restants ; avant que le certificat n'expire, les administrateurs reçoivent un e-mail. Personne ne devrait le découvrir en constatant qu'une fonction a disparu.

Au-delà de trente jours, le certificat expire et une installation payante repasse en Community Edition : scan, vérification des signatures, admission control et preuves continuent dans les limites gratuites. Elle ne s'arrête pas, ne vous bloque pas et ne se met pas à refuser les déploiements. Une installation Community n'est pas concernée, puisque son certificat n'expire pas.

Être injoignable et être refusé sont deux états distincts, que l'installation traite différemment. Le silence consomme les trente jours. Une réponse indiquant que la licence a été libérée ou révoquée s'applique immédiatement, car dans ce cas la connexion a bien eu lieu et la réponse était non.

Un cluster sans aucune route vers l'extérieur. Il est activé à la main, une fois, puis reste sous licence sans jamais nous parler. La console génère une petite demande d'activation qui désigne le cluster : son empreinte, la clé publique générée par l'operator dans le cluster, le nom du cluster et la version de l'operator. Sur votre page de licence, vous déposez ce fichier et téléchargez le certificat émis en retour ; sur une licence Enterprise, vous y acceptez d'abord les conditions d'activation hors ligne, et sur une licence ouverte dans le cadre d'un contrat, cette étape est déjà faite. C'est le même document signé que celui du chemin en ligne, pour ce seul cluster, avec un champ de plus qui indique le mode « offline ».

Ce certificat court jusqu'à la fin de la période payée plus trente jours, et douze mois à partir de son émission pour une licence sans date de fin. Une installation qui le détient ne fait aucun appel de licence (ni activation, ni contrôle quotidien, ni renouvellement) : il ne reste donc rien à bloquer. Trente jours avant l'expiration, l'installation émet sa notification d'expiration de licence, qui demande d'en récupérer un nouveau ; passé cette date, elle repasse en Community Edition comme toute licence expirée, et une licence renouvelée demande un nouveau certificat.

Un certificat que nous ne pouvons pas reprendre, nous ne pouvons pas non plus le libérer : le slot qu'il occupe est donc libéré par le support et non depuis votre compte, et Deactivate dans la console ne fait que retirer le certificat du cluster où il se trouve. L'activation hors ligne est disponible sur les licences Enterprise annuelles à partir du quinzième jour après l'achat, et sur toute licence annuelle ouverte dans le cadre d'un contrat avec nous ; les licences Community, Team et Business achetées au checkout ne l'ont pas. Les étapes sont dans le guide d'installation.

Déplacer une licence vers un autre cluster

Quand tous les clusters payés par un plan sont liés, le suivant est refusé avec un message qui dit quel est votre problème plutôt qu'une erreur générique : cette licence est déjà active sur un autre cluster, et pour l'utiliser ici il faut d'abord libérer celui-là. Le refus nomme les clusters qui occupent les slots et la date d'activation de chacun ; « lequel est l'ancien ? » devient une question à laquelle vous pouvez répondre.

Depuis l'ancien cluster. Lancez Deactivate sur place : le slot est libéré immédiatement, le certificat local est effacé et le nouveau cluster peut le prendre aussitôt. C'est la voie propre, à utiliser chaque fois que l'ancien cluster existe encore.

Depuis votre compte. Si l'ancien cluster a vraiment disparu (supprimé, reconstruit, perdu avec le matériel), libérez son slot depuis votre compte et le nouveau cluster peut le prendre.

Une chose que cela ne fait pas. Si l'ancien cluster existe et tourne encore, le libérer dans votre compte ne l'atteint pas et ne l'éteint pas. Rien ne le peut : il détient un certificat qui se vérifie hors ligne. Ce qu'il ne peut plus faire, c'est se renouveler. Son certificat expire dans les trente jours, souvent avant, et cette installation repasse d'elle-même en Community Edition.

Cette fenêtre est bornée et connue, pas ouverte, et chaque libération est enregistrée. Des libérations répétées de la même licence sont visibles de notre côté, et c'est le genre de schéma sur lequel nous poserons des questions.

Fin d'une licence

L'expiration et la résiliation se comportent comme un certificat expiré : l'installation repasse en Community Edition et continue de fonctionner dans les limites gratuites. Il n'y a pas d'effet couperet. L'admission control ne s'arrête pas, et rien de ce que vous avez déjà scanné ou enregistré ne vous est retiré.

Résilier en cours de période n'éteint rien le jour de la résiliation. Vous gardez ce que vous avez payé jusqu'à la fin de la période, puisque c'est ce que vous avez payé ; le certificat n'est simplement plus renouvelé après cette date.

Toutes les fonctions de sécurité sont dans l'édition gratuite. Une clé payante ajoute de la capacité et le single sign-on ; la comparaison donne le détail.