Preise
Das Fundament komplett geliefert: Code, Doku, CI/CD und Sicherheit.
Eine Zahlung, der vollständige Quellcode und kein Abo. Wählen Sie Ihre Begleitung und schreiben Sie uns: Wir melden uns zur Lieferung.
- Lifetime-Lizenz, vollständiger Quellcode
- Selbst gehostet auf Ihrer Infrastruktur
-
Kit
Das komplette Fundament, in Eigenregie. 1 000 €Lifetime-Lizenz Einmalzahlung- Vollständiger Quellcode des Fundaments
- Multi-Tenant, White-Label, 2FA-Auth
- CI/CD-Kette + 5 blockierende Sicherheitschecks
- Docker-Compose-Auslieferung und Runner inklusive
- Contour-Design-System, hell und dunkel
-
Kit + Begleitung
Installiert und in Produktion mit uns. Auf Anfrage Je nach Projekt- Alles im Kit, plus:
- Geführte Installation: Traefik, Runner, Tolgee, Dependency-Track
- Review Ihres ersten Produktions-Releases
Qualität und Werkzeuge
Was Sie kaufen, im Code geprüft.
Jede Zeile unten entspricht einer Datei, einem Workflow oder einer Doku-Seite des Fundaments. Keine Versprechen: Systeme, die laufen.
-
Multi-Tenant-Architektur
- Eine Datenbank, Isolation per Row Level Security im FORCE-Modus, App-Rolle ohne BYPASSRLS
- Ein Meta-Test lässt die CI scheitern, wenn einer Tenant-Tabelle die Policy fehlt
- 56 versionierte SQL-Migrationen
- Audit-Log nur anfügend: Die Datenbank verweigert der App-Rolle DELETE
- SSRF-geschützte ausgehende Webhooks, XState-Workflows pro Bereich versioniert
-
Identität und Zugriff
- TOTP-2FA mit 8 Backup-Codes, pro Bereich und Rolle verpflichtend
- Kontosperre, Passwortrichtlinie, Step-up, Sitzungswiderruf
- Rollen Owner, Admin, Member plus eigene Rollen pro Bereich
- Delegierte Sitzung (Impersonation): eigene Berechtigung, max. 1 h, Begründung Pflicht, auditiert
- Identitäts-Port bereit für einen anderen Anbieter (SSO), wenn nötig
-
Tech-Stack
- Striktes TypeScript durchgängig, Node 22, per Digest fixiertes Image
- NestJS-12-API auf Fastify 5, generiertes OpenAPI und Client-SDK
- Konsole mit React 19, Vite 8, Refine 5, Contour-Design-System
- Jobs mit BullMQ und Redis 8: Outbox, E-Mails, Bereinigung, Webhooks
- Abrechnung über Stripe- oder manuellen Port, durchgesetzte Quotas (402)
- Observability mit OpenTelemetry und pino
-
Cybersicherheit
- Gitleaks über die gesamte Historie, Semgrep, pnpm audit und OSV-Scanner: blockierend bei jeder PR
- CycloneDX-SBOMs (cdxgen, syft), grype-Scan bei jeder PR und wöchentlich
- Cosign-signierte Images, SLSA-Provenienz, OpenVEX-Attestierung
- Helmet und HSTS an der API, strikte CSP mit Verstoßberichten, Rate Limiting über Redis
- Secrets aus Dateien, Dependabot, SECURITY.md-Richtlinie
- Bedrohungsmodell und 49 Kontrollblätter mit Nachweisen
-
Compliance: Was der Code liefert
- Nur anfügendes Audit-Log, standardmäßig 24 Monate aufbewahrt (nie unter sechs), Bereinigung eingebaut
- Export eines Mitglieds und eines Bereichs (Auskunft, Portabilität), Pseudonymisierung eines Mitglieds, Löschung eines Bereichs binnen 30 Tagen
- TLS und HSTS im Browser, gehashte Passwörter und Backup-Codes
- Kontrollen den SOC-2-Kriterien zugeordnet, Sicherheitsfragebogen für Ihre Käufer, Risikoregister
- Ihre Aufgabe: AVV, Verzeichnisse der Verarbeitungen und Verletzungen, Audits und Zertifizierungen, Verschlüsselung von Volumes und Backups
-
Dependency-Track
- Dependency-Track-Instanz als Docker Compose, mit eigenem PostgreSQL
- pnpm sbom:sync überträgt SBOMs von Code, Images und CI
- pnpm dtrack:setup richtet die Richtlinie „kritische Schwachstelle = Fehler“ und E-Mail-Alarme ein
- VEX-Import, um nicht ausnutzbare Schwachstellen zu dokumentieren
-
Internationalisierung
- Selbst gehostetes Tolgee, maschinelle Übersetzung mit DeepL optional
- ICU-Kataloge (intl-messageformat), Quelle der Wahrheit im Repository
- pnpm i18n:sync: Schlüssel, Tags, Screenshots und Kontext für die Übersetzer
- Französisch und Englisch vollständig (~1 300 Schlüssel), ein Befehl fügt eine Sprache hinzu
-
CI/CD
- ci: Typecheck, Lint, Modulgrenzen, Tests, Build, aktuelles OpenAPI und SDK, Sicherheitschecks, Images
- e2e: Playwright gegen die echte API, Barrierefreiheit mit axe
- sast, sbom, image-scan, scorecard: eigene und wöchentliche Analysen
- release-images: signierte arm64-Images, Auslieferung nur bei grüner ci und e2e
- deploy: manueller Redeploy als Rollback-Pfad
- load: k6 bei jedem Release, Ziel p95 < 300 ms
-
Qualität und Tests
- Tests auf echtem PostgreSQL (Testcontainers), keine simulierte Datenbank
- Automatische Prüfung, dass jede API-Route abgedeckt ist
- Wiederherstellung eines Backups in der CI nachgewiesen
- Manuelle Szenarien in TESTING.md dokumentiert
- doc-impact: Jede PR listet die zu prüfenden Doku-Seiten
-
Docusaurus-Dokumentation
- Hilfe für Endnutzer: 51 Seiten, veröffentlicht
- Entwickler und Architekten: 116 Seiten (Architektur, Betrieb, Qualität, Contour)
- Sicherheit: 70 Seiten (Bedrohungsmodell, Kontrollen, Compliance, Verfahren)
- Entscheidungen: 73 begründete ADR
- Doku-CI: Quellen und Nachweise geprüft, alle 4 Basen gebaut
-
Harness für KI-Agenten
- CLAUDE.md und AGENTS.md synchron: die Repository-Regeln für Ihre Coding-Agenten
- 5 Skills: atelier, avis-frais, e2e-pr, lot, release
- 3 Review-Agenten: Architekt, Lead-Dev, Doku-Auditor (Claude und Codex)
- Voreingestellte Berechtigungen allow, ask und deny (Force-Push und Löschungen verboten)
- Kit „Produkt-Agent“ für Ihr Produkt auf dem Fundament, per Test mit dem Code abgeglichen
Betriebskosten
- Open-Source-Werkzeuge, selbst gehostet: Tolgee, Dependency-Track, Gitleaks, Semgrep OSS, OSV-Scanner, syft, grype, Cosign. Keine Fremdlizenz zu bezahlen.
- Testplattform auf Oracle Cloud Always Free (Ampere A1, arm64). Das kostenlose Angebot umfasst derzeit 2 OCPU und 12 GB Arbeitsspeicher (1 500 OCPU-Stunden und 9 000 GB-Stunden pro Monat).
- GitHub-gehostete Runner in dieser Größenordnung kostenlos, oder eigene Runner.
- Rund 4,5 GB RAM für Dependency-Track einplanen.
Was geliefert wird
Vier Bausteine, eine Lieferung.
Das Produkt, seine Doku, seine CI/CD-Kette, seine Sicherheitschecks und optional unsere Begleitung.
| Inklusive | Kit1 000 € | Kit + BegleitungAuf Anfrage |
|---|---|---|
| Produkt-Fundament | ||
| Vollständiger Quellcode des Fundaments | Inklusive | Inklusive |
| Multi-Tenant, White-Label, 2FA-Auth | Inklusive | Inklusive |
| Gebrandete E-Mails, Plattform-Konsole | Inklusive | Inklusive |
| Selbst gehostetes Tolgee-i18n, ICU-Kataloge Französisch und Englisch | Inklusive | Inklusive |
| Harness für KI-Agenten: CLAUDE.md, AGENTS.md, 5 Skills, 3 Review-Agenten | Inklusive | Inklusive |
| Contour-Design-System, hell und dunkel | Inklusive | Inklusive |
| Dokumentation | ||
| 4 Docusaurus-Basen: Benutzerhilfe (51 S.), Entwickler und Architekten (116 S.), Sicherheit (70 S.), ADR-Entscheidungen (75 S.) | Inklusive | Inklusive |
| CI/CD | ||
| GitHub-Actions-CI/CD: Tests, signierte Images, Auslieferung per Docker Compose | Inklusive | Inklusive |
| Eigene Runner unterstützt, Traefik-Proxy inklusive | Inklusive | Inklusive |
| Geführte Installation: Traefik, Runner, Tolgee, Dependency-Track | Nicht inklusive | Inklusive |
| Cybersicherheit | ||
| 5 blockierende Checks: Gitleaks, Semgrep, pnpm audit, OSV-Scanner, grype-Image-Scan | Inklusive | Inklusive |
| CycloneDX-SBOM, Cosign-signierte Images (SLSA, VEX), Dependency-Track inklusive | Inklusive | Inklusive |
| Bedrohungsmodell und 49 Kontrollblätter mit Nachweisen | Inklusive | Inklusive |
| Review Ihres ersten Produktions-Releases | Nicht inklusive | Inklusive |
Kontakt
Interesse an einem Angebot? Schreiben Sie uns.
Drei Pflichtfelder. Ihre Nachricht landet direkt in unserem Postfach, wir antworten per E-Mail.
Antwort per E-Mail.