Client Delivery·Guide
Économie de la livraison d’actifs
La « livraison sécurisée » n’est pas un seul produit. D’un côté de la frontière, l’hôte de stockage peut lire vos objets (stockage cloud standard avec TLS et chiffrement fournisseur). De l’autre, seule la clé du client déverrouille les fichiers (zero-knowledge). La plupart des plateformes photo, y compris ArtInStack, vivent du premier côté. Ce que les studios achètent ensuite, c’est entitlement et marque : qui entre dans le portail, si les masters client siègent sur un CDN public ou en stockage Private, et si vous donnez une URL CDN permanente ou une URL signée à courte durée.
Ce que « sécurisé » doit préciser
Quatre questions avant de faire confiance à un lien de livraison
Qui détient la clé
Le chiffrement au repos géré par le fournisseur est normal. Zero-knowledge signifie que l’hôte ne peut pas déchiffrer. Ne les notez pas comme la même case.
CDN public vs téléchargement contrôlé
Une URL d’objet public sur un hostname CDN est lisible par le monde si quelqu’un a le chemin. Les masters de portfolio Private n’obtiennent jamais ce hostname. Les téléchargements portail et achat utilisent encore des URL signées à courte durée après entitlement, pas un lien CDN permanent dans l’e-mail.
Qui est entitled
Invitation-plus-code-d’accès, un mot de passe partagé, ou un lien de transfert anonyme créent des surfaces de fuite différentes.
Où siège la marque
Une page de transfert qui ressemble au produit de quelqu’un d’autre entraîne les clients à croire que le job est temporaire et optionnel.
La frontière que trace le hero
À gauche de la ligne : le fournisseur de stockage (et en général le SaaS) peut accéder aux objets en clair. Les fichiers voyagent en TLS ; au repos ils utilisent les clés du fournisseur. Le contrôle d’accès est le récit produit : qui peut entrer dans le portail, quel grant il détient, et quelle forme d’URL vous renvoyez pour un téléchargement.
À droite de la ligne : modèles zero-knowledge ou de bout en bout où le service ne détient jamais de clé utilisable. Cette classe existe dans des produits fichiers de niche. Ce n’est presque jamais ce que « logiciel de galerie client » signifie dans le marketing photo, même quand la landing dit encrypted.
ArtInStack est honnête sur le côté gauche. Nous ne revendiquons pas le zero-knowledge. Si un job exige vraiment que l’hôte ne puisse pas déchiffrer, vous avez besoin d’une autre classe de produit, pas d’une galerie plus jolie.
Pourquoi les liens ZIP ont encore l’air cheap
Les passations façon WeTransfer optimisent pour des déplacements d’archive one-shot. Elles conviennent quand la relecture est déjà terminée et que vous avez seulement besoin que des octets quittent le bâtiment. Elles échouent comme système de livraison : pas de modèle d’entitlement lié à un client, pas de file studio, pas de chemin tranquille de retour vers l’impression ou un portail de marque.
Le gaspillage économique, c’est le travail de rematch et l’érosion de marque. Vous avez déjà payé pour shooter et éditer. Payer encore en archéologie d’e-mail (« quel dossier ? ») et sur une page de téléchargement tiers qui ne ressemble en rien au site pour lequel ils ont engagé, c’est ainsi qu’un job fini a encore l’air inachevé.
Remplacez le rituel ZIP par un grant portail quand le client doit encore décider, shortlister ou revenir plus tard. Gardez un lien de transfert pour le cas rare où le seul job restant est « voici l’archive ».
Ce qu’ArtInStack livre vraiment
La plateforme est public-first pour le CMS. Les uploads de bibliothèque média et les portfolios publics normaux vivent sur un domaine custom R2 public pour que pages site, embeds et surfaces marketing puissent utiliser un chemin CDN. C’est volontaire pour le travail que vous voulez publier, pas une affirmation que chaque fichier client partage ce hostname.
Les portfolios Private sont un chemin séparé. Uploadez dans une galerie Private et ces masters atterrissent dans un bucket R2 privé (pas de domaine CDN public). La visualisation et les téléchargements Portail client exigent encore auth d’invitation et entitlement ; l’API renvoie ensuite des GET signés à courte durée pour affichage et fichiers d’archive. Les téléchargements d’achat suivent la même idée : route token, puis redirect signé.
Signer un objet public ne le rend pas secret : quiconque a le chemin CDN permanent peut encore le récupérer. La vraie exclusivité pour le travail client vient du stockage Private : l’objet n’est pas du tout sur le hostname public. Ne confondez pas cela avec le zero-knowledge, et ne confondez pas un aperçu public filigrané avec une livraison d’archive.
| Modèle | Qui peut déchiffrer | Réalité studio |
|---|---|---|
| Lien de transfert anonyme | Fournisseur + quiconque a le lien | Dump d’archive rapide ; entitlement faible |
| Portfolio public / médias CMS | Fournisseur + quiconque a le chemin CDN | R2 public ArtInStack pour site et embeds |
| Portfolio Private + passation portail | Fournisseur + clients entitled seulement | R2 privé ArtInStack ; porte auth, puis GET signé |
| Coffre zero-knowledge | Détenteurs de clé client seulement | Rare en livraison photo ; autre produit |
Où chaque option s’inscrit vraiment
Choisissez ArtInStack quand la livraison doit siéger sur la même colonne que la relecture et le site public : portail de marque, galeries Private pour masters client, téléchargements accordés, et un chemin de retour vers l’impression sans rematcher les fichiers.
Choisissez un produit fichiers zero-knowledge quand le contrat exige littéralement que l’hôte ne puisse pas déchiffrer. Attendez-vous à un second système à côté de votre galerie.
Utilisez un lien de transfert simple seulement pour des archives one-shot après clôture des décisions. C’est de la logistique, pas une salle client.
Livrez les fichiers sans le rituel ZIP
Invitez le client. Accordez le téléchargement. Utilisez des galeries Private quand les masters doivent rester hors du CDN public. Gardez tout sur la même colonne que le site.
Also in Guides: Galeries client qui convertissent · Architecture de l’expérience client · Le mythe du stockage illimité