Arrêtez de réécrire
le socle de votre SaaS : multi-tenant, auth 2FA, marque blanche, CI/CD, e-mails brandés.
Un socle B2B complet — organisations isolées par RLS PostgreSQL, marque blanche, auth 2FA, e-mails brandés, i18n — livré avec sa chaîne CI/CD, ses contrôles de sécurité bloquants et sa livraison automatisée par Docker Compose. Sur votre infrastructure, sans facture cloud au compteur.
- Code source complet, licence à vie
- Auto-hébergé — aucune dépendance PaaS
- Pipeline sécurité incluse
- install + build
- tests unitaires · vitest · postgres réel
- tests e2e · playwright · axe
- gitleaks — historique complet
- semgrep — 0 résultat
- pnpm audit + osv-scanner
- images → sbom syft + scan grype
- image signée cosign → ghcr
- ➜ livré sur docker compose · prod
La stack que vos devs connaissent déjà
TypeScript, PostgreSQL, Docker, Coolify, GitHub Actions, Tolgee, Dependency-Track, Gitleaks, Semgrep, OpenSSF Scorecard, Playwright, Vitest, Traefik.
typescript 
postgresql 
docker 
coolify 
github actions 
vitest 
traefik Tout ce qu'un SaaS B2B réécrit à chaque fois, déjà écrit.
Chaque brique est testée et documentée. Vous partez du produit, pas du squelette.
Auth + rôles + 2FA en minutes
Connexion, rôles owner/admin/member et 2FA TOTP déjà branchés, isolés par tenant sans config manuelle. Vous activez, vous vous connectez, ça marche.
La charte du client, servie à l'exécution
Couleur, logo et arrondis par design tokens, appliqués à l'interface et aux e-mails sans redéploiement. Contraste AA vérifié côté serveur, mode sombre inclus.
-
Multi-tenant by design
Organisations et espaces isolés par tenant, rôles et invitations inclus.
-
Pipeline CI/CD
Runner GitHub local, tests, sécurité, image, déploiement Coolify.
-
Assistant de création
Tenant provisionné en cinq étapes : base, sous-domaine, clés API.
-
E-mails brandés
Invitation, vérification, réinitialisation — re-thémés par tenant.
-
i18n avec Tolgee
Édition en contexte, export ICU en CI. Une langue de plus, zéro code.
-
Console plateforme
Superadmin : tenants, plans et quotas, journal d'audit, impersonation.
Un push, et la chaîne fait le reste.
La pipeline tourne sur un runner GitHub auto-hébergé : vos minutes de build sont gratuites, votre code ne quitte pas votre machine. Chaque étape bloque la suivante — rien n'atteint la production sans être passé au travers.
-
Push
- déclenché sur main et PR
- runners hébergés ou auto-hébergés
- typecheck, lint, frontières de modules
-
Qualité
- lint + typecheck
- tests unitaires vitest
- e2e playwright
-
Sécurité
- gitleaks
- semgrep
- pnpm audit + osv-scanner
- scan d'images grype
-
Build
- images docker arm64
- SBOM CycloneDX
- signature cosign + provenance SLSA
-
Production
- attend ci + e2e verts
- docker compose + traefik
- relivraison manuelle = retour arrière
Livraison sur votre serveur
La livraison attend que la CI et les tests e2e soient verts sur le commit, puis déploie les images signées par Docker Compose derrière Traefik. Un workflow manuel de relivraison sert de retour arrière.
Runners GitHub au choix
Les workflows sont des GitHub Actions standard : runners hébergés par défaut, ou vos propres runners auto-hébergés (ARM64) par une simple variable. La publication des images et la livraison tournent sur vos runners.
Tests automatisés
Tests unitaires et d'API sur un vrai PostgreSQL, end-to-end Playwright avec contrôle d'accessibilité axe sur les parcours critiques. Un test rouge bloque la livraison, pas seulement l'affichage d'un badge.
- contrôles sécurité bloquants à chaque PR
- 5
- fiches de contrôle sécurité, preuves à l'appui
- 49
- décisions d'architecture (ADR) documentées
- 73
- bases de documentation Docusaurus
- 4
Des contrôles bloquants à chaque PR. Déjà câblés.
Secrets, code, dépendances et images sont contrôlés en CI ; les images publiées sont signées et accompagnées de leur provenance. Un client entreprise vous demande votre posture sécurité ? Vous montrez les 49 fiches de contrôle et leurs preuves.
bloquant en CI · rapport par PR-
Gitleaks
Analyse tout l'historique git à chaque PR : une clé API, un token ou un mot de passe commité fait échouer la CI. -
Semgrep
Règles TypeScript, Node.js et secrets à chaque PR ; le moindre résultat fait échouer la pipeline. -
pnpm audit + OSV-Scanner
Vulnérabilités hautes refusées, base OSV interrogée avec des exceptions motivées et versionnées. -
SBOM, grype, Cosign
SBOM CycloneDX par syft et cdxgen, scan grype à chaque PR et chaque semaine, images signées Cosign avec provenance SLSA et VEX. Les SBOM alimentent votre Dependency-Track.
Pensé pour les secteurs qui passent des audits.
Journal d'audit, contrôles sécurité en CI, documentation livrée : le kit fournit les briques techniques que ces secteurs attendent. La mise en conformité reste la vôtre.
-
Santé & medtech
Journal d'audit en ajout seul, export et effacement des données, 2FA par rôle : les briques techniques d'un dossier santé, à compléter par vos propres mesures.
journal d'audit -
Finance & assurance
Traçabilité de chaque action, 2FA obligatoire, revue de dépendances continue exigée par vos auditeurs.
2fa par rôle -
Secteur public
Auto-hébergement : vos données restent sur votre infrastructure, export et effacement des données outillés.
export · effacement -
Legaltech
Isolation stricte par cabinet, impersonation encadrée et motivée, rétention et purge du journal d'audit configurables.
audit trail -
Agences & studios
Marque blanche par API : livrez chaque client sous sa propre marque, depuis un seul socle.
multi-tenant -
Industrie & IoT
Pipeline durcie avec SBOM continue : la conformité Cyber Resilience Act commence dans la CI.
sbom continue
La voix devient une interface d'admin.
Prochaine étape : exposer le socle aux agents par un serveur MCP. Dictée et transcripts deviendront des actions vérifiées, avec les mêmes permissions et le même journal d'audit.
Dictée → actions
Dictez une instruction ; l'agent la convertit en appels MCP et vous montre le plan avant d'exécuter.
Transcript → actions
Déposez le compte-rendu d'une réunion : l'agent en extrait les actions plateforme et les propose à la validation.
Quatre bases Docusaurus livrées avec le kit
Utilisateurs finaux, développeurs et architectes, sécurité, décisions : chaque public a sa documentation, versionnée dans son dépôt et vérifiée en CI. Vos équipes ne partent jamais d'un README.
-
Aide utilisateurs
PUBLIQUE Guides pour les utilisateurs finaux de votre SaaS : espaces, membres, rôles, sécurité du compte. La seule base publiée. 51 pages -
Développeurs et architecture
Architecture, flux, exploitation, construction, qualité, design system Contour et référence. 116 pages -
Sécurité
Modèle de menaces, 49 fiches de contrôle avec preuves, conformité et procédures. 70 pages -
Décisions (ADR)
73 décisions d'architecture motivées, du multi-tenant à la livraison. 75 pages
- Auditajout seul
- Exportet effacement
- SOC 2critères mappés
Un paiement. Le code est à vous.
Licence à vie, code source complet, aucun abonnement.
Voir le détail des offres-
Kit
Le socle complet, en autonomie. 1 000 €licence à vie Paiement unique- Code source complet du socle
- Multi-tenant, marque blanche, auth 2FA
- Chaîne CI/CD + 5 contrôles sécurité bloquants
- Livraison Docker Compose et runners fournis
- Design system Contour, clair et sombre
- Mises à jour 12 mois
-
Kit + accompagnement
Installé et en production avec nous. Sur devis Selon votre projet- Tout le Kit, plus :
- Installation guidée : Traefik, runners, Tolgee, Dependency-Track
- Revue de votre première mise en production
- Mises à jour à vie
Questions fréquentes
Qu'est-ce qu'il me faut pour l'héberger ?
Un serveur Linux avec Docker et un dépôt GitHub. L'API, le worker et la console tournent en Docker Compose derrière Traefik, avec PostgreSQL 17 et Redis. Tolgee et Dependency-Track ont leurs propres fichiers Compose ; Dependency-Track demande à lui seul environ 4,5 Go de RAM.
Puis-je utiliser mes propres runners GitHub ?
Les workflows tournent sur les runners hébergés de GitHub par défaut ; une variable suffit pour passer sur vos runners auto-hébergés, ce que font déjà la publication des images et la livraison. Vos secrets de déploiement restent ainsi sur votre réseau.
Quels contrôles de sécurité bloquent la CI ?
Gitleaks, Semgrep, pnpm audit, OSV-Scanner et le scan d'images grype tournent en parallèle des tests. Chaque exception est motivée et versionnée dans le dépôt, et non désactivée en silence.
Avec quelle stack le socle est-il construit ?
TypeScript strict de bout en bout : NestJS sur Fastify pour l'API, PostgreSQL 17 et Drizzle, Better Auth pour l'authentification, BullMQ et Redis pour les tâches, React 19, Vite et Refine pour la console, Tolgee pour l'i18n. Monorepo pnpm et Turborepo.
Puis-je l'utiliser pour des projets clients ?
Oui. La licence couvre un produit en production par licence, sans limite de tenants ni d'utilisateurs finaux.