IdeaBuild
ENPTESFR Accueil
Pour la DSI et la direction informatique

Ce que l'on vous demande de valider

Quelqu'un côté métier a vu la page d'accueil d'IdeaBuild et veut avancer. Cette page s'adresse à ceux qui doivent dire si c'est sûr, si cela s'intègre, et ce que cela coûtera à la DSI en exploitation. Pas de marketing. Chaque point renvoie à une note technique plus détaillée.

Ce que c'est

Un socle applicatif ouvert et conteneurisé (.NET 10, React 18, PostgreSQL 16, Keycloak 24, Redis 7, Docker), plus deux services de livraison : l'ingénierie d'applications sur mesure accélérée par l'IA, et la migration incrémentale hors d'Oracle APEX, OutSystems et runtimes similaires.

Ce que ce n'est pas

Ni une plateforme low-code, ni un SaaS, ni un runtime sous licence. Vous recevez le code source, les schémas et les runbooks, déployés sur votre infrastructure ou sur le cloud souverain de votre choix.

Ce que vous devez vérifier

Modèle de sécurité, localisation des données, intégration de l'identité, risque de migration, exploitabilité, et ce qui se passe le lendemain de la mise en service. Chaque point a sa section ci-dessous et une ligne dans la liste de vérification en fin de page.

Deux services sur un même socle ouvert

Service 1

Livraison d'applications accélérée par l'IA

Vos experts métier décrivent le fonctionnement de l'activité. Nos ingénieurs utilisent l'IA pour synthétiser des services C# et des composants React sur le socle préconstruit, vérifiés par plus de 1 200 tests backend automatisés et plus de 100 suites de bout en bout avant que quoi que ce soit ne vous parvienne.

Service 2

Migration legacy

Les règles métier enfouies dans des packages PL/SQL, des régions APEX ou des runtimes OutSystems sont extraites vers des services C# propres et des écrans React, basculés module par module, le système legacy tournant en parallèle jusqu'à ce que la parité soit prouvée.

Le socle

La partie que vous ne reconstruirez plus jamais

Les deux services partent de la même pile auditée : passerelle Nginx, identité Keycloak, bases transactionnelle et d'audit séparées, API .NET modulaires, SPA React, télémétrie complète.

.NET 10 · React 18 · PostgreSQL 16 · Keycloak 24 · Redis 7 · Docker

L'IA écrit du code dans des garde-fous que vous pouvez inspecter

La première question de la DSI : comment empêchez-vous le modèle d'inventer des règles ou de voir nos données. La réponse est structurelle, pas une simple politique.

L'IA dans ses garde-fous

Le savoir métier entre à gauche. La synthèse par l'IA se situe dans un cadre jaune formé de quatre garde-fous : spécifications exécutables, tests obligatoires, modules préconstruits et audités, aucune donnée de production. Du code C# et React vérifié sort à droite. Savoirmétier Synthèse IA Specs exécutables de vos experts 1 200+ tests à réussir Modules prêts et audités Aucune donnée de prod VérifiéC# + React Le modèle ne voit jamais identifiants, données de prod ni secrets

Application déterministe des règles

La sortie de l'IA est contrainte par des spécifications exécutables rédigées avec vos experts métier. Les règles métier sont vérifiées par des tests, pas en faisant confiance au modèle. Aucune dérive logique, aucune règle hallucinée en production.

Zéro exposition des données

Les bases de production, les identifiants et les règles propriétaires ne sont jamais envoyés à des modèles externes ni utilisés pour l'entraînement. La synthèse travaille sur des schémas et des spécifications, pas sur vos données.

Briques prétestées

RBAC, audit, grilles de données, pipelines documentaires, i18n et paramétrage sont assemblés à partir de modules qui embarquent déjà leurs propres suites de tests.

Cycle de vie

Semaine 1 : architecture et plan du domaine avec vos experts. Semaines 2 à 4 : synthèse et vérification accélérées par l'IA. Semaine 5 : déploiement conteneurisé dans votre environnement avec télémétrie, runbooks et passation. Framework de livraison d'applications par l'IA

Douze capacités que vous n'avez pas à construire

01

Identité et accès (IAM)

Keycloak 24, OIDC/OAuth2 avec PKCE, second facteur TOTP, contrôle des sessions, audit des accès administrateur.

02

RBAC côté serveur

Chaque endpoint évalue les claims et les politiques sur le serveur. Masquer l'interface n'est jamais la frontière de sécurité.

03

Audit immuable

État JSON avant et après mutation, utilisateur, IP et horodatage, diffusés via Redis Streams vers une base d'audit dédiée.

04

Grilles de données volumineuses

Tri, pagination et filtrage côté serveur sur des millions de lignes, vues enregistrées, export XLSX.

05

Recherche en langage naturel

Texte libre converti en filtres de colonnes validés, contraints par les permissions de l'appelant et les règles d'indexation.

06

Moteur de règles et d'alertes

Conditions configurables, notifications par e-mail, déclencheurs d'événements, historique d'exécution.

07

Paramétrage centralisé

Réglages, politiques, identifiants tiers et fuseaux horaires gérés dans le backoffice, chiffrés en AES-256, rechargement à chaud.

08

Pipeline documentaire

Téléversements liés aux entités, validation MIME, détection de zip bombs et de macros, rendu PDF via Gotenberg.

09

Thèmes en marque blanche

Logos, typographies et couleurs par tenant à l'exécution, sans redéploiement.

10

i18n multilingue

Un seul catalogue pour les vues React et les messages de validation .NET.

11

Observabilité

Prometheus, Grafana, Loki/Promtail, Seq avec identifiants de corrélation.

12

Façade d'audit MCP

Serveur Model Context Protocol en lecture seule pour l'analyse d'incidents assistée par l'IA, sans identifiants de base de données.

Sept niveaux, tous conteneurisés, tous à vous

Tout tourne sous Docker Compose sur vos hôtes ou sur un cloud souverain. Aucun composant ne nécessite de licence. Description complète des niveaux dans la méthodologie de migration.

Les sept niveaux

Pile en couches. L'entrée Nginx est la seule surface publique. Sous une ligne pointillée marquée réseau interne : les frontends React et Keycloak, cinq services .NET, puis PostgreSQL main, PostgreSQL audit et Redis. Une bande de télémétrie descend sur le côté droit. Internet public Niveau 1 · Entrée Nginx TLS, limite de débit, CSP/HSTS, ports admin bloqués seule entrée publique Réseau Docker interne. Rien en dessous ne publie de port. Niveau 5 · Frontends React 18 Portail public · Dashboard opérationnel · Backoffice Niveau 3 · Keycloak 24 OIDC, PKCE, TOTP Niveau 4 · Services .NET 10 api-auth · api-private · api-backoffice · api-audit · api-diag PostgreSQL main entités métier PostgreSQL audit isolée, non modifiable Redis 7 cache, sessions, flux Niveau 2 · Données, cache Niveaux 6 à 7 Télémétrie Prometheus Grafana Seq Loki Sous la ligne pointillée, tout n'est joignable que depuis d'autres conteneurs.
NiveauRôle
1 · NginxSeul point d'entrée public. Terminaison TLS, limitation de débit, en-têtes CSP/HSTS, blocage des ports d'administration et de diagnostic.
2 · Donnéespostgres-main pour les entités métier ; postgres-audit isolée pour l'historique de conformité ; Redis pour le cache, les sessions et les flux d'événements d'audit.
3 · IdentitéKeycloak 24. OAuth2/PKCE, JWT signés, TOTP imposé ; console d'administration sur réseau privé uniquement.
4 · Servicesapi-auth, api-private, api-backoffice, api-audit, api-diag
5 · FrontendsReact 18 + Vite. Portail public, dashboard opérationnel, backoffice ; bibliothèque de composants partagée.
6 à 7 · TélémétrieMétriques Prometheus via les exporteurs Nginx, Postgres et Redis ; Grafana ; journaux structurés Seq ; journaux de conteneurs Loki/Promtail.

Ce qui arrive à une requête

Une requête, de bout en bout

Le navigateur obtient un jeton auprès de Keycloak, appelle via Nginx un service .NET qui vérifie le RBAC, lit et écrit dans PostgreSQL main. Chaque mutation émet un événement vers Redis Streams, que le service d'audit stocke dans PostgreSQL audit, où les services applicatifs ne peuvent pas écrire. 1 · ClientHTTPS, PKCE 2 · NginxTLS, limite débit 3 · Service .NETVérif. JWT + RBAC 4 · PostgreSQL mainréseau interne seulement KeycloakJWT signé 5 · mutation émise Redis Streamsacteur, IP, avant, après 6 · PostgreSQL auditconsommé par api-audit services app sans écriture Chaque écriture laisse une trace avant/après dans un stockage inaltérable par l'application.
  1. 1Le navigateur s'authentifie auprès de Keycloak en HTTPS avec PKCE et reçoit un JWT signé.
  2. 2Chaque appel d'API entre par Nginx, qui termine le TLS, applique les limites de débit et les en-têtes de sécurité, et refuse tout ce qui vise les ports internes.
  3. 3Le service .NET cible valide la signature du jeton et évalue les politiques RBAC sur le serveur avant de toucher aux données.
  4. 4Les lectures et les écritures vont vers postgres-main via le réseau Docker interne uniquement.
  5. 5Chaque mutation publie un événement (utilisateur, IP, horodatage, état précédent et nouvel état) dans Redis Streams.
  6. 6api-audit consomme le flux et le persiste dans postgres-audit, une instance distincte dans laquelle les services applicatifs ne peuvent pas écrire directement.

Zero-trust par construction

L'autorisation sur le serveur, toujours

Les claims sont évalués par endpoint. Les boutons masqués relèvent de l'UX, jamais du contrôle. Cela ferme la classe de failles BOLA et de manipulation de paramètres, fréquente dans les plateformes départementales.

Deux bases, pas une

L'historique d'audit vit dans une instance PostgreSQL distincte. Des privilèges élevés sur la base transactionnelle n'atteignent pas la piste d'audit.

Second facteur imposé

TOTP (RFC 6238) sur Keycloak, obligatoire pour les realms d'administration.

Une seule porte d'entrée

Nginx est la seule surface publiée. Bases de données, Redis, console d'administration Keycloak, diagnostics et sockets MCP sont inaccessibles de l'extérieur.

Vérifié à chaque démarrage

Trois contrôles automatisés arrêtent le déploiement en cas de violation : no-published-ports, production-blocks-tools, attachments-volume-not-served. Les fichiers téléversés ne sont jamais sur un chemin public ; les téléchargements passent par des API authentifiées.

L'IA ne voit jamais la production

Aucune donnée, aucun identifiant, aucune règle de production n'est envoyé à des modèles externes. Note technique Keycloak OIDC et RBAC

Se brancher sur ce que vous exploitez déjà

Identité
Vos annuaires existants se fédèrent dans Keycloak sans imposer de réinitialisation des mots de passe. Le SSO permet aux utilisateurs de passer des écrans legacy aux nouveaux en une seule session.
API
Chaque capacité est exposée via des endpoints REST documentés sur les services .NET. L'intégration avec les ERP, CRM ou plateformes de données passe par ces endpoints, avec le même RBAC.
Synchronisation des données pendant la migration
Le Change Data Capture via Redis Streams ou Kafka maintient la base legacy et PostgreSQL en miroir avec une latence inférieure à la seconde et une double écriture dans les deux sens.
Documents et exports
Office/HTML vers PDF via Gotenberg, export XLSX depuis n'importe quelle grille, téléversements liés aux entités métier.
Notifications
E-mail et déclencheurs d'événements depuis le moteur de règles.

Où vivent vos données et qui peut y toucher

Localisation
Sur votre matériel ou dans la région de cloud souverain de votre choix. Rien n'est hébergé par IdeaBuild.
Isolation
Les services n'atteignent les bases que par le réseau Docker interne. Aucun port de base de données n'est publié.
Audit
Chaque modification est restituable en état avant/après, avec l'acteur et l'origine, dans un stockage que l'application ne peut pas écraser.
Propriété
Schémas, migrations et données sont à vous dès le premier jour ; il n'y a pas d'étape d'export en fin de contrat.
Modèles externes
Ni entraînés sur vos données de production, ni interrogés avec elles.

Cinq phases, pas de big bang

Chaque phase a un point de retour arrière. Le système legacy n'est jamais éteint avant que son remplaçant ait fait ses preuves en production. Méthodologie de migration legacy · Livre blanc : le piège du low-code

Strangler Fig : le legacy se réduit, le nouveau grandit

Cinq colonnes P1 à P5. Dans chacune, un bloc legacy gris se réduit et un bloc nouveau jaune grandit. La double écriture CDC couvre les phases deux à quatre. Chaque phase a un repère de rollback. En phase cinq, le legacy est à zéro et la licence prend fin. Legacy Neuf dual-write / CDC rollbackrollbackrollbackrollback fin licence P1 Découverte P2 Réplication P3 Identité P4 Services P5 Bascule
  1. P1

    Découverte automatisée des schémas et des règles

    L'analyse statique des DDL, triggers, séquences et packages PL/SQL produit une carte de la logique enfouie et un harnais de tests exécutable avant toute modification de code.

  2. P2

    Réplication parallèle et double écriture

    PostgreSQL 16 provisionné à côté de la base legacy ; le CDC maintient les deux synchronisées, sans dérive.

  3. P3

    Fédération d'identité

    Les utilisateurs existants arrivent dans Keycloak ; SSO entre anciens et nouveaux écrans.

  4. P4

    Extraction modulaire des services

    Les procédures et les workflows liés aux écrans deviennent des services C# avec RBAC côté serveur et audit, vérifiés contre le harnais.

  5. P5

    Bascule des écrans et fin de la licence

    Les écrans passent sur React un par un ; quand la télémétrie montre la parité, les connexions legacy sont coupées et la licence propriétaire prend fin.

Ce dont nous avons besoin de votre côté

Infrastructure
Hôtes Linux compatibles Docker (sur site ou cloud) avec la capacité pour PostgreSQL ×2, Redis, Keycloak, les services API et les frontends. Le dimensionnement est convenu lors de l'évaluation.
Réseau
Une entrée publique pour Nginx ; réseau interne pour tout le reste ; SMTP sortant pour les notifications.
Accès pour la découverte
Accès en lecture aux schémas et au code legacy (DDL, packages, exports OutSystems) et à la source d'identité pour la fédération.
Personnes
Des experts métier pour la semaine de cadrage (quelques heures chacun) ; un référent DSI pour les environnements et les accès ; un contact sécurité pour la revue.
Durée
Cinq semaines pour une nouvelle application sur le socle. La durée d'une migration dépend du nombre d'écrans et de règles découverts en phase 1 et est estimée après la découverte.

Qui fait quoi

Grille de six domaines sur trois parties : Métier, DSI, IdeaBuild. Les cellules jaunes signifient « gère », les cellules encadrées « consulté », les cellules noires « livre ». AXE MÉTIER DSI IDEABUILD Règles métier et priorités Gère Consultée Capte, vérifie Environnements, hébergement Gère Définit, déploie Source d'identité et SSO Gère Intègre Revue sécurité et validation Gère Prouve, corrige Code, tests, runbooks Reçoit Livre Exploitation (run) Gère Forme, assiste Gère Consulté / reçoit Livre Non impliqué

Oracle APEX vs OutSystems vs socle ouvert

DimensionOracle APEXOutSystemsSocle IdeaBuild
Dépendance au runtimeMoteur Oracle Database (PL/SQL)Runtime compilé propriétaire.NET 10 et PostgreSQL open source
LicencesCœurs CPU de la base / crédits cloudPar utilisateur + par niveau d'applicationAucun frais de licence ; auto-hébergé
TalentsSpécialistes PL/SQL APEX de nicheDéveloppeurs certifiés sur la plateformeMarché C#, React, SQL
FlexibilitéInterface liée aux objets de la baseLimites fortes sur la logique personnalisée complexeServices modulaires, sans plafond
Propriété du codeExports de métadonnées uniquementCode obfusqué au détachementDépôts Git propres, documentés
AuditCompléments sur mesureCompléments sur mesureStockage d'états avant/après intégré

Dix points que la DSI doit vérifier avant de dire oui

  1. 01L'autorisation est-elle appliquée côté serveur sur chaque endpoint ?Sécurité
  2. 02La piste d'audit peut-elle être altérée par quelqu'un disposant de privilèges sur la base ?Sécurité
  3. 03Où vivent les données et qui les héberge ?Données
  4. 04S'intègre-t-il à notre fournisseur d'identité sans réinitialiser les mots de passe ?Intégration
  5. 05Des données de production sont-elles envoyées à un modèle d'IA externe ?Livraison IA
  6. 06Qu'est-ce qui est exposé sur Internet ?Architecture
  7. 07Peut-on revenir en arrière à chaque phase de migration ?Migration
  8. 08Que recevons-nous à la passation, et notre équipe peut-elle le maintenir ?Responsabilités
  9. 09Combien coûte l'exploitation au quotidien ?Matrice
  10. 10Peut-on le voir fonctionner avant de s'engager ?Console en prod

Pour aller plus loin

Session technique

Réserver une session d'architecture technique

Venez avec votre responsable sécurité et la personne qui a la charge du système legacy. Nous parcourons l'architecture, ouvrons les dépôts et répondons à la liste de vérification ligne par ligne.

contact@ideabuild.co
NDA mutuel avant tout appel de découverte