Aller au contenu
SecureLaunch
fren
REF SL-2026-001
v1.0.0
Périmètre OWASP ASVS L1
Prix : 99 € — licence à vie

Construit par un profil cybersécurité, pas par un growth hacker

Lancez un SaaS Pythonsans vous faire trouer.

SecureLaunch est le starter kit FastAPI secure-by-default : auth durcie (JWT + rotation + 2FA + argon2id), headers OWASP sur chaque réponse, et RGPD pré-câblé — le seul à l'être vraiment.

Obtenir la licence à vieVoir la doc & le contenu

FastAPI · SQLAlchemy 2 async · PostgreSQL · Stripe · Docker + Caddy. De zéro à déployé en ~30 min.

$ unzip securelaunch-1.0.0.zip
Archive: securelaunch-1.0.0.zip
$ cd securelaunch
$ uv sync
Resolved 34 packages in 1.2s
Installed 34 packages in 890ms
$ alembic upgrade head
INFO [alembic.runtime.migration] Running upgrade -> e8b08e907e1a, initial schema
$ uvicorn app.main:app
INFO: Application startup complete.
INFO: Uvicorn running on http://127.0.0.1:8000 (Press CTRL+C to quit)
Figure 1 — Démonstration du kit dans un terminal
73
Tests automatisés
90 %
Couverture
ASVS L1
Audit
0 vuln.
pip-audit

Mesuré sur la v1.0.0 — vérifiable dans le dépôt, pas des promesses.

§1Ce que vous économisez

Vous ne payez pas du code. Vous payez des semaines de durcissement.

Vous ne payez pas pour du code que vous auriez pu écrire. Vous payez pour les semaines passées à durcir l'auth correctement, à ne pas vous tromper sur la rotation des tokens, et à ne pas découvrir un trou de sécurité en production. Voici le détail, module par module.

Base TJM 500 € — fourchettes indicatives.

  • Auth durcie — JWT 15 min + refresh rotatif, détection de réutilisation, Argon2id, lockout progressif, TOTP chiffré

    Temps DIY
    2–3 semaines
    Coût DIY
    5 000–7 500 €
    SecureLaunch
    Inclus

  • Webhooks Stripe signés + idempotents (claim-first), portail client

    Temps DIY
    1–2 semaines
    Coût DIY
    2 500–5 000 €
    SecureLaunch
    Inclus

  • RGPD — export Art. 20, effacement Art. 17, registre de consentements, docs légales FR/EN

    Temps DIY
    1–2 semaines
    Coût DIY
    2 500–5 000 €
    SecureLaunch
    Inclus

  • Baseline OWASP — headers CSP/HSTS…, rate-limiting, CORS strict, CSRF, logs sans PII

    Temps DIY
    1 semaine
    Coût DIY
    2 500 €
    SecureLaunch
    Inclus

  • Déploiement durci — Docker non-root, Caddy TLS auto, CI ruff/pytest/pip-audit/gitleaks

    Temps DIY
    1 semaine
    Coût DIY
    2 500 €
    SecureLaunch
    Inclus

  • Total si vous le construisez vous-même

    Temps DIY
    6–9 semaines
    Coût DIY
    ≈ 15 000–22 500 €
    SecureLaunch
    99 € — licence à vie

Total si vous le construisez vous-même

≈ 15 000–22 500 €

SecureLaunch

99 €

licence à vie

En réalité, la plupart des développeurs ne passent pas ces semaines : ils sautent la sécurité. Ce kit neutralise d'emblée les 4 classes de failles qu'on retrouve dans les audits de SaaS early-stage — vol de refresh token, énumération de comptes, brute-force, webhooks Stripe rejouables.

Ces chiffres sont des estimations destinées à situer l'ordre de grandeur du travail évité. Aucune garantie de résultat ni de conformité automatique n'est promise : la sécurité et la conformité dépendent aussi de votre exploitation.

§2Le kit

Six modules, chacun passé au crible d'une revue adversariale.

Six modules, chacun testé, documenté et passé au crible d’une revue de sécurité adversariale écrite.

  1. Auth durcie

    JWT access + refresh opaques avec rotation et détection de vol (révocation de toute la famille), hachage argon2id, reset & vérification email à usage unique, verrouillage brute-force progressif, 2FA TOTP optionnelle (secret chiffré au repos).

  2. RGPD pré-câblé

    Export de données (portabilité), droit à l'effacement (avec anonymisation du journal d'audit), registre de consentements append-only, politiques de confidentialité & CGV types FR + EN, bannière de consentement.

  3. Paiements Stripe

    Checkout abonnements et paiement unique, webhooks signés et idempotents (claim-first, race-safe), portail client, gestion des échecs de paiement.

  4. Données

    PostgreSQL + SQLAlchemy 2 async + Alembic. Modèles User / Subscription / Payment / AuditLog / Consent prêts à l’emploi, migrations et seeds de dev.

  5. Signature sécurité

    Headers OWASP sur toutes les réponses, rate-limiting, CORS restrictif, CSRF double-submit, logs structurés sans donnée personnelle.

    • CSP
    • HSTS
    • nosniff
    • X-Frame-Options
    • Referrer-Policy
    • Permissions-Policy
    • COOP/CORP

  6. Déploiement

    Dockerfile multi-stage durci (non-root, slim), docker-compose avec Caddy (TLS auto), CI GitHub Actions complète.

$ docker compose up -d
[+] Running 3/3
$ docker compose ps
NAME IMAGE STATUS PORTS
app securelaunch-app Up 12 seconds (healthy) 8000/tcp
db postgres:16 Up 12 seconds (healthy) 5432/tcp
caddy caddy:2 Up 12 seconds (healthy) 0.0.0.0:443->443/tcp
Figure 2 — docker compose ps

Pipeline CI

ruffpytest · cov 90 %pip-auditgitleaks

Inclus aussi : 73 tests automatisés (couverture 90 %, > 95 % sur l'auth), une revue de sécurité adversariale écrite par module, un audit final indépendant OWASP ASVS niveau 1 (0 finding Critique / Haut restant), et une doc « de zéro à déployé en 30 minutes ».

§3Sous le capot

Le chemin d'une requête — et ce qui l'attend à chaque couche.

De l'entrée TLS jusqu'à PostgreSQL : chaque couche de la stack embarque sa défense, câblée par défaut, pas ajoutée après coup.

Edge

Caddy (TLS auto)

AttaqueMITM, downgrade TLS

DéfenseTLS automatique + HSTS : la connexion en clair n’existe pas.

Application

FastAPI middleware

AttaqueXSS, flood, clickjacking

DéfenseHeaders OWASP sur chaque réponse (CSP, X-Frame-Options…), rate-limiting global + par route, CORS sans wildcard, CSRF double-submit.

Auth

Service Auth

AttaqueCredential stuffing, vol de token

DéfenseArgon2id, verrouillage progressif, refresh rotatif + détection de réutilisation avec révocation de toute la famille, TOTP chiffré au repos.

Paiements

Webhooks Stripe

AttaqueWebhooks forgés, replay

DéfenseSignature vérifiée + idempotence claim-first : un événement ne paie qu’une fois.

Données

PostgreSQL + SQLAlchemy 2 async

AttaqueInjection SQL, fuite de données

DéfenseRequêtes paramétrées via l’ORM, migrations Alembic, logs structurés sans PII.

§4Audit indépendant — OWASP ASVS L1

Audité comme si on voulait le trouer.

Chaque module a subi une revue de sécurité adversariale écrite. Puis un audit final indépendant a re-vérifié le code réel ligne à ligne, mappé sur OWASP ASVS niveau 1 — sans confiance accordée aux revues précédentes.

Les findings résiduels (Moyens / Faibles) relèvent de la défense-en-profondeur et sont documentés publiquement avec leurs conditions d'exploitation. En cybersécurité, la crédibilité vaut mieux qu'un argumentaire lisse.

Lire l'audit complet
security-reviews/AUDIT_FINAL.mdPérimètre — OWASP ASVS L1

4 findings Hauts trouvés en développement — corrigés et re-vérifiés :

  • H1Contournement de la désactivation 2FA via /2fa/setupCORRIGÉ
  • H2Absence de verrou brute-force sur le second facteur TOTPCORRIGÉ
  • H3Headers OWASP absents des réponses 429CORRIGÉ
  • H4entrypoint.sh absent de l'image DockerCORRIGÉ

Trouver des failles pendant le développement n'est pas un échec : c'est le but de la méthode. Les cacher le serait.

SévéritéFindings restants
Critique0
Haute0
Moyenne4
Faible5
Info2

Verdict

PRÊT POUR LA VENTE

0 CRITIQUE · 0 HAUT

§5Qui construit ça

Construit par un ingénieur sécurité, pas par un growth hacker.

SecureLaunch est construit en public : chaque module est développé, puis attaqué par écrit — et tout est publié, y compris ce qui a été trouvé.

  • 01

    Une revue adversariale par module

    Chaque module a subi une revue de sécurité adversariale documentée : le code est attaqué comme le ferait un adversaire, et le résultat est écrit noir sur blanc.

  • 02

    Les findings sont publiés — rien de caché

    Y compris les 4 findings High trouvés en développement, corrigés puis re-vérifiés. Les taire aurait été plus confortable ; ce n’est pas la méthode.

  • 03

    Produit indépendant

    Pas d'équipe marketing derrière : le code et l'audit sont l'argument. Ce que cette page affirme, le dépôt le prouve.

L'auteur — Ingénieur sécurité

§6RGPD

Le seul boilerplate qui pré-câble le RGPD.

Dès que vous vendez en Europe, le RGPD n'est pas une option. Tous les boilerplates l'ignorent — SecureLaunch le livre câblé, testé et documenté.

  • Export de données

    Portabilité complète : un endpoint authentifié renvoie toutes les données de l’utilisateur en JSON.

  • Droit à l'effacement

    Suppression de compte en cascade avec anonymisation du journal d'audit, re-authentification exigée.

  • Registre de consentements

    Append-only : chaque consentement est horodaté et conservé, jamais modifié ni supprimé.

  • Docs légales types FR/EN

    Politique de confidentialité et CGV en français et en anglais, plus une bannière de consentement.

  • GET/gdpr/exportExport des données — Art. 20
  • DELETE/gdpr/accountEffacement + anonymisation des logs — Art. 17
  • GET/gdpr/consentsRegistre des consentements

200 OK - application/json

{
"user": {
"email": "marie@exemple.eu",
"created_at": "2026-01-12T09:41:07Z"
},
"consents": [
{ "kind": "terms_of_service", "granted_at": "2026-01-12T09:41:07Z" },
{ "kind": "marketing_email", "granted_at": "2026-02-03T18:22:41Z" }
],
"payments": [
{ "amount": "29.00", "currency": "EUR", "status": "succeeded" },
{ "amount": "29.00", "currency": "EUR", "status": "succeeded" }
],
"exported_at": "2026-07-17T10:05:33Z"
}
Figure 3 — API RGPD — openapi.json (extrait)

Modèles livrés

privacy-policy.fr.mdprivacy-policy.en.mdcgv.fr.mdcgv.en.md

Les documents juridiques fournis sont des modèles à adapter à votre activité. Ils ne constituent pas un avis juridique.

§7Comparatif

SecureLaunch vs. boilerplates JS/Next.js

Comparaison factuelle. Les boilerplates JS dominants (type ShipFast et clones) sont d'excellents produits pour aller vite côté JavaScript — ils visent simplement un autre public et d'autres priorités. Voici les axes où le choix diffère réellement.

SecureLaunch vs. boilerplates JS/Next.js
AxeSecureLaunchBoilerplates JS/Next.js typiques
Langage / stackPython / FastAPI (async)JavaScript / Next.js
Sécurité par défautHeaders OWASP, rate-limit, CSRF, CORS, logs sécu — de baseVariable ; souvent laissé à l’intégrateur
RGPD pré-câbléExport + effacement + consentements + docs FR/ENRarement fourni
2FATOTP inclus (secret chiffré au repos)Selon le fournisseur d'auth externe
Tests & audit73 tests, 90 % couverture, audit ASVS L1Rarement mis en avant / documenté
Modèle de prixLicence à vie, mono-acheteurSouvent licence à vie également

Les caractéristiques des produits tiers évoluent et varient d'un kit à l'autre : vérifiez toujours l'offre exacte au moment de votre achat. Cette table décrit des tendances générales, pas un produit concurrent nommé en particulier.

§8En toute honnêteté

Pour qui — et pour qui ce n’est pas.

C’est pour vous si…

  • Vous êtes développeur Python solo / indie et voulez lancer un SaaS maintenant, sans réécrire l’auth et la sécurité de zéro.
  • Vous ciblez le marché européen et le RGPD n’est pas négociable.
  • Vous préférez FastAPI / async / PostgreSQL à un stack JavaScript.
  • Vous savez lire du code Python et faire tourner Docker : une base de production solide et modifiable, pas du no-code.

Passez votre chemin si…

  • Vous cherchez un template front / Next.js clés en main : SecureLaunch est un backend FastAPI.
  • Vous voulez du no-code ou un générateur d’UI.
  • Vous avez besoin de MySQL ou de multi-tenant natif : le kit est écrit pour PostgreSQL et mono-tenant.
  • Vous voulez revendre le boilerplate lui-même : la licence l’interdit.

§9Prix

Un prix, à vie

Payez une fois. Utilisez le kit dans tous vos projets, pour toujours.

Tarif early adopter

Licence à vie · mono-acheteur · usage illimité dans vos projets

99 €

puis 149 €

Tarif de lancement réservé aux premières licences early adopter, puis 149 € — pas de faux compte à rebours.

Le tarif de lancement est une vraie remise limitée, pas une fausse urgence : il augmentera réellement.

  • Les 6 modules + code source complet
  • 73 tests, 90 % de couverture, audit ASVS L1
  • Revues de sécurité adversariales par module
  • RGPD pré-câblé + docs légales types FR/EN
  • Docker durci + Caddy + CI · doc « 30 min »
  • Mises à jour incluses
Obtenir la licence à vie

Revente et redistribution du kit interdites.

FAQ

Questions fréquentes

Parce qu'énormément de développeurs indépendants pensent et livrent en Python (data, IA, back-end, scripts), et que l'écosystème des boilerplates sérieux y est bien plus pauvre qu'en JS. FastAPI apporte l'async natif, la validation stricte via Pydantic 2 et l'OpenAPI générée. SecureLaunch vise ce public-là, avec la sécurité comme priorité de premier ordre.

La valeur n'est pas le code brut mais le temps de durcissement : rotation de tokens sans faille, anti-énumération, webhooks idempotents, chaînage RGPD, revues de sécurité écrites. La licence commerciale finance ce travail et sa maintenance. Vous obtenez l'intégralité du code source, modifiable sans restriction dans vos projets.

Licence commerciale à vie, mono-acheteur : usage illimité dans vos propres projets (clients compris). Seule la revente ou redistribution du kit en tant que tel est interdite. Les documents juridiques fournis sont des modèles à adapter et ne constituent pas un avis juridique.

Vous récupérez les nouvelles versions via git pull puis rebuild ; en Docker, les migrations Alembic sont réappliquées au démarrage. Les dépendances sont épinglées (uv.lock) et auditables avec pip-audit. Les correctifs de sécurité sont notre priorité.

Le kit est conçu pour être autonome : doc « 30 min », un guide par module, guides de déploiement (VPS, Scaleway, Railway/Render) et une FAQ technique détaillée. Pour les questions d'achat ou de licence, écrivez à support@securelaunch.dev.

S'agissant d'un produit numérique livré immédiatement avec accès au code source complet, les conditions de remboursement sont précisées à l'achat. Avant d'acheter, parcourez la doc publique et le contenu détaillé du kit via documentation pour lever tout doute.

Arrêtez de recâbler l'auth à chaque projet.

Partez d'une base FastAPI durcie, testée et pensée pour le marché européen. Concentrez-vous sur votre produit, pas sur les trous de sécurité.

Obtenir la licence à vieExplorer la documentation