Your Application              Citadel                         Database
       |                         |                               |
       |-- POST /encrypt ------->|                               |
       |                         |-- hybrid KEM (X25519+ML-KEM)  |
       |                         |-- derive AES-256 key (HKDF)   |
       |                         |-- encrypt with AES-256-GCM    |
       |<-- encrypted blob ------|                               |
       |                                                         |
       |-- store blob ------------------------------------------>|

citadel-envelope    Cœur de chiffrement hybride (X25519 + ML-KEM-768 + AES-256-GCM)
citadel-keystore    Gestion du cycle de vie des clés, hiérarchie à 4 niveaux, politiques adaptatives aux menaces
citadel-api         Serveur HTTP, authentification par clé API limitée, limitation de débit, tableau de bord en temps réel

# Cloner
git clone https://github.com/mrcord77/rust_citadel.git
cd rust_citadel

# Définir votre clé API administrateur
echo -n "your-secret-key" | sha256sum | cut -d' ' -f1
# Copier le hash

# Démarrer
CITADEL_API_KEY_HASH=<paste-hash> docker compose up -d

# Vérifier
curl http://localhost:3000/health
# {"status":"ok","version":"0.2.0"}

cargo build --release -p citadel-api
CITADEL_API_KEY="your-secret-key" CITADEL_SEED_DEMO=true ./target/release/citadel-api

import requests

api = "http://localhost:3000"
headers = {"Authorization": "Bearer your-secret-key"}

# Chiffrer
r = requests.post(f"{api}/api/keys/{dek_id}/encrypt", headers=headers, json={
    "plaintext": "sensitive data",
    "aad": "record-001",        # lie le texte chiffré à cet enregistrement
    "context": "patient-records" # séparation de domaine
})
blob = r.json()

# Déchiffrer
r = requests.post(f"{api}/api/decrypt", headers=headers, json={
    "blob": blob,
    "aad": "record-001",
    "context": "patient-records"
})
plaintext = r.json()["plaintext"]

# Statut
curl http://localhost:3000/api/status -H "Authorization: Bearer $KEY"

# Lister les clés
curl http://localhost:3000/api/keys -H "Authorization: Bearer $KEY"

# Chiffrer
curl -X POST http://localhost:3000/api/keys/$DEK_ID/encrypt \
  -H "Authorization: Bearer $KEY" \
  -H "Content-Type: application/json" \
  -d '{"plaintext":"hello","aad":"test","context":"demo"}'

Root Key
  └── Domain Key (par environnement / unité métier)
        └── KEK — Key Encrypting Key (enveloppe les DEK)
              └── DEK — Data Encrypting Key (chiffre les données applicatives)

version[1] || suite_kem[1] || suite_aead[1] || flags[1] || kem_ct_len[2] ||
x25519_ephemeral_pk[32] || mlkem768_ct[1088] || nonce[12] || aead_ct[variable]

rust_citadel/
├── citadel-envelope/        # Bibliothèque de chiffrement hybride
│   ├── src/
│   │   ├── envelope.rs      # Opérations de chiffrement/déchiffrement
│   │   ├── kem.rs           # KEM hybride X25519 + ML-KEM-768
│   │   ├── kdf.rs           # Dérivation de clé HKDF-SHA256
│   │   ├── wire.rs          # Encodage/décodage du format filaire
│   │   ├── aead.rs          # Wrapper AES-256-GCM
│   │   ├── aad.rs           # Données authentifiées supplémentaires
│   │   ├── error.rs         # Types d'erreur uniformes
│   │   └── sdk.rs           # API de haut niveau
│   ├── tests/               # Tests KAT + aller-retour
│   └── fuzz/                # Cibles de fuzzing
├── citadel-keystore/        # Gestion du cycle de vie des clés
│   └── src/
│       ├── keystore.rs      # CRUD des clés + machine d'état
│       ├── policy.rs        # Politiques de périodes cryptographiques
│       ├── threat.rs        # Renseignement adaptatif sur les menaces
│       ├── storage.rs       # Stockage de clés basé sur fichiers
│       ├── audit.rs         # Journal d'audit à chaîne d'intégrité
│       └── types.rs         # Types et états de clés
├── citadel-api/             # Serveur HTTP
│   └── src/
│       ├── main.rs          # Routes API, auth, limitation de débit
│       └── dashboard.html   # Tableau de bord de sécurité en temps réel
├── citadel_example.py       # Exemple d'intégration Python
├── Backup-Citadel.ps1       # Outils de sauvegarde/restauration
├── docker-compose.yml       # Déploiement de développement
├── docker-compose-production.yml  # Production avec TLS
├── SPEC.md                  # Spécifications du format filaire
├── THREAT_MODEL.md          # Objectifs de sécurité et modèle d'attaquant
├── COMPLIANCE_MATRIX.md     # Mappage des contrôles NIST 800-57
└── CITADEL_OVERVIEW.md      # Aperçu commercial