TESSERA.registry
Réserver un échange

Pour les éditeurs d’API et les entreprises qui déploient des agents IA

Chaque API qualifiée. Chaque connexion justifiée.

Une évaluation au regard du RGPD et de l’AI Act, auditée par un cabinet partenaire et signée : l’éditeur prouve la conformité de son API, l’entreprise la vérifie avant d’y connecter ses agents.

  • Base de données hébergée dans l’UE
  • Audit par un cabinet partenaire
  • Qualification signée et vérifiable

Le constat

Vos agents se connectent plus vite que vos contrats ne se signent.

Un agent IA découvre, appelle et enchaîne des APIs tierces en quelques secondes. La conformité, elle, se vérifie encore contrat par contrat, questionnaire par questionnaire. Entre les deux, un angle mort.

Où partent les données ?

Transferts hors UE, sous-traitants ultérieurs, durées de conservation : chaque appel peut engager votre responsabilité au titre du RGPD.

Quel système d’IA se cache derrière ?

Dès qu’une API embarque un modèle, l’AI Act peut exiger transparence, documentation ou supervision humaine, selon le niveau de risque.

L’accès est-il bien protégé ?

Authentification, contrôle d’accès, protection contre les abus : une faille chez le fournisseur devient un incident chez vous.

Et qui pourra le démontrer ?

Le jour d’un contrôle, il faut prouver que la diligence a été faite. Sans trace vérifiable, la bonne foi ne suffit pas.

Pour qui

Deux moitiés d’une même confiance.

D’un côté, l’éditeur qui prouve. De l’autre, l’entreprise qui vérifie. Entre les deux, une qualification que chacun peut contrôler.

Vous éditez une API

Faites de votre conformité un argument commercial.

  • Un dossier évalué une fois, présentable à tous vos clients.
  • Une réponse vérifiable aux questionnaires de conformité que vous envoient vos clients.
  • Un identifiant de qualification que vos clients vérifient eux-mêmes.
  • Un rapport détaillé, critère par critère, pour savoir où progresser.
Parler de votre API

Vous déployez des agents IA

Laissez vos agents vérifier avant de se connecter.

  • Une vérification en une requête, par API REST.
  • Des règles d’accès simples : niveau minimal, domaines exigés, statut actif.
  • Une suspension ou une révocation visible immédiatement.
  • Des rapports lisibles par vos équipes juridique, conformité et sécurité.
Parler de vos agents

La démarche

Cinq étapes, deux regards, une seule décision.

Une seule décision au bout : qualifier ou non. TESSERA évalue la technique, un cabinet partenaire audite le droit, et l’éditeur suit l’avancement de son dossier à chaque étape.

Étape 01 · Éditeur

Dépôt du dossier

L’éditeur décrit son API dans un formulaire guidé en cinq étapes. Ses réponses fixent le périmètre : les domaines évalués et les critères qui s’appliquent. Rien n’est évalué qui ne concerne pas son API.

Étape 02 · TESSERA

Évaluation TESSERA

Nous contrôlons les critères techniques : chiffrement, authentification, en-têtes de sécurité, limitation de débit. Une fois évalués, ils sont figés, pour que l’audit s’appuie sur une base stable.

Étape 03 · Cabinet partenaire

Audit du cabinet

Un cabinet partenaire indépendant audite les critères juridiques, avec une profondeur qui dépend du niveau visé.

Étape 04 · TESSERA

Décision et signature

La qualification est émise quand chaque domaine du périmètre est conforme. Sinon, le rapport indique précisément les critères à corriger, et le dossier est réévalué une fois les corrections faites. C’est cette exigence qui donne sa valeur à la qualification auprès de vos clients.

Étape 05 · Registre

Inscription au registre

La qualification est inscrite au registre pour un an. Son statut se vérifie à tout moment grâce à son identifiant, et elle reste valable tant que l’API correspond à ce qui a été évalué.

Le référentiel

78 critères. Cinq domaines. Aucune moyenne.

Chaque domaine du périmètre est conforme ou ne l’est pas : pas de note sur 100, pas de compensation d’un domaine par un autre. Les critères obligatoires doivent tous être satisfaits ; les critères valorisants enrichissent le rapport sans jamais bloquer.

Une tesselle par critère

78 critères
  • ExigéToujours contraignant.
  • ConditionnelContraignant s’il est déclenché.
  • ValorisantNe bloque jamais.

  • RGPD

    Toujours évalué

    Rôle et gouvernance, registre et procédures, licéité des traitements, contrats et transferts, mesures techniques.

    Règlement (UE) 2016/679

  • AI Act

    Selon le risque IA

    Classification et licéité du système, transparence, documentation et performance, supervision humaine, modèles à usage général.

    Règlement (UE) 2024/1689

  • Sécurité technique

    Toujours évalué

    Durcissement HTTP et contrôle d’accès, protection contre les abus, gestion des vulnérabilités, sécurité des serveurs MCP.

    Bonnes pratiques et protocole MCP

  • Documentation et transparence

    Toujours évalué

    Documentation technique complète et à jour, versioning, conditions d’utilisation et politique de support.

    Documentation publique de l’API

  • Gouvernance et opérations

    Selon le niveau visé

    Pilotage de la conformité, continuité opérationnelle, maîtrise des risques tiers, veille et amélioration continue.

    Organisation de l’éditeur

Les niveaux

Trois niveaux, selon ce que vos clients attendent.

Chaque niveau approfondit l’audit, et aucun n’est une note : choisissez celui qui correspond aux exigences de vos clients.

L1

Référencement

Audit documentaire du cabinet

Jusqu’à 27 critères sur 78

Pour entrer au registre et répondre aux questionnaires de vos clients.

  • RGPD, sécurité technique et documentation
  • AI Act si votre API est concernée
  • Contrôles techniques menés par TESSERA
  • Inscription au registre pour un an
L2

Qualification

Audit approfondi du cabinet

Jusqu’à 69 critères sur 78

Pour les clients exigeants : APIs au cœur de processus métier ou de données sensibles.

  • Tout le niveau L1
  • Le domaine gouvernance et opérations
  • Audit approfondi des critères juridiques
  • Registre des traitements, privacy by design, analyse des transferts
L3

Qualification+

Audit approfondi du cabinet et audit technique approfondi

Les 78 critères du référentiel

Pour les secteurs régulés, où l’exigence ne se négocie pas.

  • Tout le niveau L2
  • Audit technique approfondi
  • Marqueurs de maturité : test d’intrusion récent, disponibilité vérifiée sur 12 mois, audit externe de biais

Valable un an, quel que soit le niveau, puis renouvelable. La qualification reste valable tant que l’API correspond à ce qui a été évalué.

Quel périmètre pour votre API ?

Le périmètre se déduit de vos réponses. Deux questions suffisent pour l’estimer.

Votre API intègre-t-elle un système d’IA ?
Quel niveau visez-vous ?
L2
QualificationAudit approfondi du cabinet
  • RGPDToujours évalué
  • Sécurité techniqueToujours évalué
  • DocumentationToujours évalué
  • AI ActHors périmètre : aucun système d’IA
  • GouvernanceÉvalué à partir de L2

Votre dossier serait évalué sur 4 domaines : RGPD, sécurité technique, documentation et gouvernance.

Parler de votre périmètre

Estimation indicative. Le périmètre définitif est confirmé lors de l’instruction du dossier.

L’intégration

Une requête, et votre agent sait à qui il parle.

Interrogez le registre avant chaque connexion, depuis votre code ou directement depuis votre agent. La réponse contient tout ce qu’une politique d’accès doit savoir.

Statut en temps réel
Active, suspendue, révoquée ou expirée : votre agent n’agit que sur une qualification en cours de validité.
Niveau et périmètre explicites
Exigez un niveau minimal ou un domaine précis, par exemple L2 avec RGPD et AI Act.
Intégrité vérifiable
Chaque qualification est signée : sa signature se contrôle avec notre clé publique.
Serveurs MCP évalués
Votre API expose un serveur MCP ? Le référentiel consacre un bloc entier à sa sécurité.
API REST
GET/api/verify/TSR-2026-99042
Réponse · 200
{
  "qualification_id": "TSR-2026-99042",
  "api": "Exemple · API Commandes fournisseurs",
  "status": "active",
  "level": "L2",
  "domain_scores": {
    "rgpd": "pass",
    "security": "pass",
    "documentation": "pass",
    "governance": "pass"
  },
  "signature_valid": true,
  "issued_at": "2026-09-14",
  "expires_at": "2027-09-14"
}

Pas de code ? Vérifiez à la main.

Un fournisseur vous transmet son identifiant de qualification ? Saisissez-le pour afficher son statut, son niveau et sa validité.

Exemples :

Démonstration sur des données fictives : le résultat s’affichera ici.

La preuve

Tout ce que nous affirmons se vérifie.

Une qualification n’a de valeur que si elle résiste à l’examen. Chaque maillon du registre a été conçu pour cela.

Un journal que personne ne réécrit

Chaque étape d’un dossier est inscrite dans un journal chaîné : chaque entrée porte l’empreinte de la précédente. Les entrées ne peuvent être ni modifiées ni supprimées.

Signée et scellée

Chaque qualification est signée et accompagnée de l’empreinte de son contenu. La moindre altération se détecte.

Deux regards indépendants

TESSERA évalue la technique, un cabinet partenaire indépendant audite le droit : deux évaluations distinctes, chacune faite par un spécialiste de son domaine.

Figée au jour de l’évaluation

Chaque résultat conserve la version du référentiel et le libellé exact du critère appliqué. Ce qui a été jugé reste lisible, même quand le référentiel évolue.

Base de données en Europe

Base de données à Francfort, dans l’Union européenne. Nous appliquons à nos propres traitements ce que nous vérifions chez les autres.

Questions fréquentes

Ce que l’on nous demande le plus souvent.

Une question qui n’est pas ici ? Écrivez-nous, nous répondons nous-mêmes.

Mon API n’utilise pas d’IA : suis-je concerné ?

Oui. Vos APIs sont appelées par des agents, qu’elles embarquent de l’IA ou non. Le périmètre s’adapte : sans système d’IA, ou à risque minimal, le domaine AI Act sort du périmètre, mais le RGPD, la sécurité technique et la documentation restent évalués.

Qui réalise l’audit ?

Deux acteurs, dans un ordre fixe. TESSERA évalue d’abord les critères techniques et les fige. Un cabinet partenaire indépendant audite ensuite les critères juridiques, avec une profondeur qui dépend du niveau visé.

Que se passe-t-il si un domaine échoue ?

La qualification ne peut pas être émise en l’état. Le rapport identifie les critères bloquants en cause, pour vous permettre d’y remédier avant une nouvelle évaluation. Les critères valorisants, eux, ne bloquent jamais.

Qualification ou certification : quelle différence ?

Une qualification est l’évaluation indépendante d’une API au regard d’un référentiel versionné, avec l’audit d’un cabinet partenaire. Elle se vérifie à tout moment et s’accompagne d’un rapport détaillé, critère par critère. Elle éclaire vos décisions, sans se substituer à une certification accréditée ni à votre propre analyse de conformité.

Combien de temps une qualification reste-t-elle valable ?

Un an à compter de son émission, quel que soit le niveau, puis elle peut être renouvelée. Elle reste valable tant que l’API correspond à ce qui a été évalué, et son statut se consulte en temps réel.

Comment mes agents consultent-ils le registre ?

Par une API REST. Une seule requête renvoie le statut, le niveau, les résultats par domaine et la validité de la signature.

Comment le référentiel suit-il l’évolution des textes ?

Il est versionné, et chaque évaluation conserve la version appliquée. Les échéances de l’AI Act y sont intégrées : une obligation qui n’est pas encore entrée en application est signalée, sans être bloquante, jusqu’à sa date d’effet.

Où sont hébergées les données ?

La base de données du registre est hébergée dans l’Union européenne, à Francfort. D’autres prestataires, notamment pour l’hébergement du site et l’authentification, sont établis aux États-Unis : la politique de confidentialité détaille ces transferts et leurs garanties.

Qui est derrière TESSERA ?

Alban Gérard, fondateur de TESSERA Registry

Business Analyst, j’accompagne des projets informatiques chez des éditeurs de logiciels, du recueil du besoin à la mise en production. En 2026, j’ai créé TESSERA Registry et conçu la plateforme de qualification, aujourd’hui en production.

Mon profil LinkedIn Mon parcours en détail

Échanger avec nous

La confiance
ne se déclare pas. Elle se vérifie.

TESSERA ouvre progressivement ses premières qualifications. Parlons de votre API, ou des agents que vous déployez, le temps d’un échange de 20 minutes.

  • 20 minutes, sans engagement
  • Le référentiel présenté en détail
  • Un premier avis sur votre périmètre

Vous préférez l’écrit ? contact@tessera-registry.eu

Réserver un échange

Choisissez directement un créneau dans l’agenda en ligne.

  • 20 minutes
  • En visioconférence
  • Le créneau de votre choix
Choisir un créneau

Réservation en ligne sur Calendly. Politique de confidentialité

Réserver un échange · 20 min