Deja de reescribir
la base de tu SaaS: multi-tenant, auth 2FA, marca blanca, CI/CD, correos con marca.
Una base B2B completa — organizaciones aisladas con RLS de PostgreSQL, marca blanca, auth 2FA, correos con marca, i18n — entregada con su cadena CI/CD, controles de seguridad bloqueantes y entrega automatizada con Docker Compose. En tu infraestructura, sin factura cloud por consumo.
- Código fuente completo, licencia de por vida
- Autoalojado — sin dependencia de PaaS
- Pipeline de seguridad incluida
- install + build
- tests unitarios · vitest · postgres real
- tests e2e · playwright · axe
- gitleaks — historial completo
- semgrep — 0 hallazgos
- pnpm audit + osv-scanner
- imágenes → sbom syft + escaneo grype
- imagen firmada cosign → ghcr
- ➜ entregado en docker compose · prod
El stack que tus devs ya conocen
TypeScript, PostgreSQL, Docker, Coolify, GitHub Actions, Tolgee, Dependency-Track, Gitleaks, Semgrep, OpenSSF Scorecard, Playwright, Vitest, Traefik.
typescript 
postgresql 
docker 
coolify 
github actions 
vitest 
traefik Todo lo que un SaaS B2B reescribe cada vez, ya escrito.
Cada pieza está probada y documentada. Partes del producto, no del esqueleto.
Auth + roles + 2FA en minutos
Inicio de sesión, roles owner/admin/member y 2FA TOTP ya conectados, aislados por tenant sin configuración manual. Activas, entras, funciona.
La marca del cliente, servida en tiempo de ejecución
Color, logo y radios por design tokens, aplicados a la interfaz y a los correos sin redesplegar. Contraste AA verificado en el servidor, modo oscuro incluido.
-
Multi-tenant by design
Organizaciones y espacios aislados por tenant, roles e invitaciones incluidos.
-
Pipeline CI/CD
Tests, controles de seguridad, imágenes firmadas, entrega con Docker Compose.
-
Asistente de creación
Tenant aprovisionado en cinco pasos: base, subdominio, claves API.
-
Correos con marca
Invitación, verificación, restablecimiento — retematizados por tenant.
-
i18n con Tolgee
Tolgee autoalojado, catálogos ICU versionados en el repositorio. Un comando añade un idioma.
-
Consola de plataforma
Superadmin: tenants, planes y cuotas, registro de auditoría, impersonación.
Un push, y la cadena hace el resto.
La pipeline corre en GitHub Actions estándar: runners alojados o los tuyos, a elección. Cada etapa condiciona la siguiente: una imagen solo se entrega si la CI y los tests e2e están en verde para el commit.
-
Push
- disparado en main y PRs
- runners alojados o autoalojados
- typecheck, lint, fronteras de módulos
-
Calidad
- lint + typecheck
- tests unitarios vitest
- e2e playwright
-
Seguridad
- gitleaks
- semgrep
- pnpm audit + osv-scanner
- escaneo de imágenes grype
-
Build
- imágenes docker arm64
- SBOM CycloneDX
- firma cosign + procedencia SLSA
-
Producción
- espera ci + e2e en verde
- docker compose + traefik
- reentrega manual = vuelta atrás
Entrega en tu servidor
La entrega espera a que la CI y los tests e2e estén en verde para el commit y despliega las imágenes firmadas con Docker Compose detrás de Traefik. Un workflow manual de reentrega sirve de vuelta atrás.
Runners GitHub a elección
Los workflows son GitHub Actions estándar: runners alojados por defecto, o tus propios runners autoalojados (ARM64) con una sola variable. La publicación de imágenes y la entrega corren en tus runners.
Tests automatizados
Tests unitarios y de API sobre un PostgreSQL real, end-to-end con Playwright y control de accesibilidad axe en los recorridos críticos. Un test en rojo bloquea la entrega, no solo una insignia.
- controles de seguridad bloqueantes en cada PR
- 5
- fichas de control de seguridad, con pruebas
- 49
- decisiones de arquitectura (ADR) documentadas
- 73
- bases de documentación Docusaurus
- 4
Controles bloqueantes en cada PR. Ya cableados.
Secretos, código, dependencias e imágenes se controlan en CI; las imágenes publicadas van firmadas y con su procedencia. ¿Un cliente empresa pregunta por tu postura de seguridad? Muestras 49 fichas de control con sus pruebas.
bloqueante en CI · informe por PR-
Gitleaks
Analiza todo el historial git en cada PR: una clave API, un token o una contraseña commiteada hace fallar la CI. -
Semgrep
Reglas TypeScript, Node.js y secretos en cada PR; cualquier hallazgo hace fallar la pipeline. -
pnpm audit + OSV-Scanner
Vulnerabilidades altas rechazadas, base OSV consultada con excepciones justificadas y versionadas. -
SBOM, grype, Cosign
SBOM CycloneDX con syft y cdxgen, escaneo grype en cada PR y cada semana, imágenes firmadas con Cosign, procedencia SLSA y VEX. Los SBOM alimentan tu Dependency-Track.
Pensado para sectores que pasan auditorías.
Registro de auditoría, controles de seguridad en CI, documentación incluida: el kit aporta las piezas técnicas que estos sectores esperan. La conformidad en sí sigue siendo tuya.
-
Salud y medtech
Registro de auditoría solo de inserción, exportación y borrado de datos, 2FA por rol: las piezas técnicas de un expediente sanitario, a completar con tus propias medidas.
registro de auditoría -
Finanzas y seguros
Cada acción trazada, 2FA obligatoria y la revisión continua de dependencias que piden tus auditores.
2fa por rol -
Sector público
Autoalojamiento: tus datos permanecen en tu infraestructura, exportación y borrado de datos incluidos.
exportación · borrado -
Legaltech
Aislamiento estricto por despacho, impersonación controlada y motivada, retención y purga del registro de auditoría configurables.
audit trail -
Agencias y estudios
Marca blanca por API: entrega cada cliente bajo su propia marca, desde una sola base.
multi-tenant -
Industria e IoT
Pipeline endurecida con SBOM continua: la conformidad con el CRA empieza en la CI.
sbom continua
La voz se convierte en interfaz de administración.
Próximo paso: exponer la base a los agentes con un servidor MCP. Dictado y transcripciones se convertirán en acciones verificadas, con los mismos permisos y registro de auditoría.
Dictado → acciones
Dicta una instrucción; el agente la convierte en llamadas MCP y te muestra el plan antes de ejecutar.
Transcripción → acciones
Sube el acta de una reunión: el agente extrae las acciones de plataforma y las propone para validación.
Cuatro bases Docusaurus incluidas en el kit
Usuarios finales, desarrolladores y arquitectos, seguridad, decisiones: cada público tiene su documentación, versionada en su repositorio y verificada en CI. Tus equipos nunca parten de un README.
-
Ayuda a usuarios
PÚBLICA Guías para los usuarios finales de tu SaaS: espacios, miembros, roles, seguridad de la cuenta. La única base publicada. 51 páginas -
Desarrollo y arquitectura
Arquitectura, flujos, operación, construcción, calidad, design system Contour y referencia. 116 páginas -
Seguridad
Modelo de amenazas, 49 fichas de control con pruebas, conformidad y procedimientos. 70 páginas -
Decisiones (ADR)
73 decisiones de arquitectura razonadas, del multi-tenant a la entrega. 75 páginas
- Auditoríasolo inserción
- Exporty borrado
- SOC 2criterios mapeados
Un pago. El código es tuyo.
Licencia de por vida, código fuente completo, sin suscripción.
Ver el detalle de las ofertas-
Kit
La base completa, en autonomía. 1 000 €licencia de por vida Pago único- Código fuente completo de la base
- Multi-tenant, marca blanca, auth 2FA
- Cadena CI/CD + 5 controles de seguridad bloqueantes
- Entrega Docker Compose y runners incluidos
- Design system Contour, claro y oscuro
-
Kit + acompañamiento
Instalado y en producción con nosotros. Bajo presupuesto Según tu proyecto- Todo el Kit, más:
- Instalación guiada: Traefik, runners, Tolgee, Dependency-Track
- Revisión de tu primera puesta en producción
Preguntas frecuentes
¿Qué necesito para alojarlo?
Un servidor Linux con Docker y un repositorio GitHub. La API, el worker y la consola corren con Docker Compose detrás de Traefik, con PostgreSQL 17 y Redis. Tolgee y Dependency-Track tienen sus propios ficheros Compose; Dependency-Track por sí solo necesita unos 4,5 GB de RAM.
¿Puedo usar mis propios runners de GitHub?
Los workflows corren por defecto en los runners alojados de GitHub; una variable basta para pasar a tus runners autoalojados, que ya usan la publicación de imágenes y la entrega. Tus secretos de despliegue se quedan en tu red.
¿Qué controles de seguridad bloquean la CI?
Gitleaks, Semgrep, pnpm audit, OSV-Scanner y el escaneo de imágenes grype corren en paralelo a los tests. Cada excepción está justificada y versionada en el repositorio, nunca desactivada en silencio.
¿Con qué stack está construida la base?
TypeScript estricto de punta a punta: NestJS sobre Fastify para la API, PostgreSQL 17 y Drizzle, Better Auth para la autenticación, BullMQ y Redis para las tareas, React 19, Vite y Refine para la consola, Tolgee para la i18n. Monorepo pnpm y Turborepo.
¿Puedo usarlo para proyectos de clientes?
Sí. La licencia cubre un producto en producción por licencia, sin límite de tenants ni usuarios finales.