# just.locker

[just.locker](https://specus.ai/fr/just-locker)

État: Bêta

> Un plan de contrôle et une PaaS auto-hébergés. Il prend en charge les serveurs que vous possédez déjà, au lieu de vous louer ceux d’un tiers.

Un plan de contrôle et une PaaS auto-hébergés. Il prend en charge vos serveurs via SSH, les sécurise et fournit déploiements, réseaux, secrets, sauvegardes et facturation sur une infrastructure qui reste la vôtre.

## Vos serveurs, pilotés par un plan de contrôle.

just.locker est un plan de contrôle et une PaaS auto-hébergés. Il prend en charge les serveurs que vous possédez déjà : les machines, les comptes chez les prestataires et les domaines restent les vôtres, et le plan de contrôle s’y ajoute.

## Une machine neuve, configurée correctement.

### Prise en charge via SSH

Prend en charge une machine neuve chez n’importe quel prestataire via SSH.

### Sa propre clé

Génère sa propre clé ed25519, l’installe et désactive l’authentification par mot de passe.

### Sécurisé dès l’installation

Sécurise la machine avec ufw, fail2ban, unattended-upgrades et Docker.

### Identifiants dans le coffre

Chaque identifiant créé lors de la prise en charge est placé dans le coffre.

## Depuis un dépôt Git distant ou une image.

### Sources

Connectez un dépôt Git distant ou une image OCI existante. Construisez avec Dockerfile, Compose, Railpack, Nixpacks ou la procédure statique.

### Déploiement automatique après un push

Avec des webhooks vérifiés par HMAC et une interrogation Git de secours si le webhook ne peut pas atteindre le plan de contrôle.

### Exploiter le conteneur

Journaux de build en direct, retour arrière en un clic, démarrage, arrêt, redémarrage, journaux et exécution de commandes dans le conteneur, ainsi qu’un terminal interactif.

### Builds indépendants

Les builds s’exécutent indépendamment pour résister à un redémarrage de l’API. Le worker se reconnecte ensuite au build en cours.

## Public si nécessaire, privé par défaut.

### Accès entrant

Traefik par domaine avec Let’s Encrypt, ou Cloudflare Tunnel.

Le Traefik géré est fixé à une empreinte et communique avec un proxy filtré de l’API Docker en lecture seule, plutôt qu’avec le socket.

### VPN

WireGuard mutualisé, avec refus par défaut selon l’utilisateur, le rôle dans le projet et la ressource, ainsi que des VIP privées pour les applications.

Un mode hybride associe un accès public entrant à un accès réservé au VPN.

## Des enveloppes chiffrées, des versions enregistrées.

### Ce qui est sauvegardé

Sauvegardes planifiées de volumes Docker et exports logiques de bases de données, chiffrés avec age et accompagnés d’un manifeste déterministe authentifié.

### Destination

Vers une Storage Box montée ou un stockage compatible S3. Les identifiants restent limités au coffre ; seules les enveloppes chiffrées quittent le serveur.

### Remplacer le serveur

Restaure les bases de données et les volumes, puis redéploie la version immuable enregistrée.

## Chaque consultation est un événement.

Un coffre AES-256-GCM avec une ACL par secret. Les secrets ayant la sensibilité d’identifiants ne peuvent être révélés que par un superadministrateur, avec une justification explicite.

## Deux niveaux distincts.

### Votre propre gestion

Clients, services récurrents et factures, avec une vue du revenu mensuel récurrent (MRR).

### Les projets que vous déployez

Facturation SaaS avec produits et tarifs indépendants du prestataire, paiement hébergé, abonnements, remboursements et droits d’accès, via Stripe Connect ou Paddle.

## Il se met à jour, ou revient en arrière.

### Mises à jour automatiques

Signées avec ECDSA et fixées à une empreinte, après des vérifications préalables, une sauvegarde de la base de données et un contrôle de santé, avec retour arrière automatique.

### Depuis Coolify

Une migration en deux phases harmonise une installation Coolify existante, puis effectue la bascule.

## Ce qu’il ne fait pas encore.

### Nouveaux projets uniquement

La production avec des données critiques exige un test canari représentatif, une observation prolongée, des RPO et RTO convenus et des exercices périodiques de restauration.

### Pas de builds à partir des sources

Les builds à partir des sources sont refusés tant qu’un environnement de build éphémère sans privilèges root n’existe pas. Les images sont donc fournies déjà construites.

## Les technologies utilisées.

- .NET 10
- Angular 22
- ASP.NET Core BFF with YARP
- Flutter
- PostgreSQL
- Redis

## Lancez un projet.

[Lancer un projet](https://specus.ai/fr#contact)

[hello@specus.ai](mailto:hello@specus.ai)