Kore

Avant la première ligne de métier

Construire une application d'entreprise suppose une trentaine de briques qui n'ont rien à voir avec le métier du client. Elles ne sont pas facultatives, et elles se paient dans tous les cas : au début si on les écrit, plus tard en dette si on les remet.

• L'authentification à double facteur, les rôles, l'isolation entre clients et le socle d'écrans : trois à six mois avant le premier écran métier.
• Assembler Keycloak, n8n, Alfresco, Grafana et AWX donne cinq modèles de client, cinq annuaires et cinq journaux d'audit qu'aucune requête ne corrèle.
• La gestion documentaire, les connecteurs et les workflows ne sont pas économisés pour autant : ils reviennent plus tard, en dette, au pire moment.
• Pendant tout ce temps, l'équipe ne construit pas ce qui distingue le produit — elle réimplémente ce que tout le monde a déjà.

Ce que Kore remplace

Kore ne rentre pas dans une case existante ; la façon honnête de le décrire est de partir de ce qu'une équipe maintient déjà. La troisième colonne est la plus importante du tableau.

« Socle à modéliser » veut dire que le moteur, le modèle de données et les écrans sont là, et que votre métier reste à décrire : un moteur de workflow sans processus modélisé, une gestion documentaire sans plan de classement, ne remplacent rien tant qu'on n'a pas configuré par-dessus. C'est rapide parce que le socle existe ; ce n'est pas instantané, et nous préférons le dire avant qu'après.

Ce que fait Kore

Quarante-six domaines fonctionnels et 1 620 opérations d'API — chiffres relevés sur le code source, pas estimés. Voici ceux qu'on retrouve dans à peu près toute application métier.

Utilisateurs, rôles et permissions fines

Le contrôle d'accès n'est pas un module ajouté après coup : il traverse tous les domaines. Une permission refusée l'est aussi bien dans l'écran que dans l'API et dans l'export.

• Contrôle d’accès par rôles sur cinq niveaux, plus de trente permissions « ressource.action », groupes avec héritage, prévention d’escalade de privilèges.
• Authentification par mot de passe, TOTP, passkeys/WebAuthn, magic link, OTP e-mail et SMS, appareils de confiance.
• Sessions suivies en temps réel, expiration douce et dure, déconnexion automatique, usurpation d’identité tracée.
• Jetons d’API de huit types, avec portées, rotation et quotas.

Organisations et clients imbriqués

Le multi-tenant est hiérarchique et vérifié : les clients s'imbriquent, les droits se propagent aux descendants, et la bascule de contexte ne laisse pas fuir les données d'un client dans l'écran d'un autre. C'est le point qu'un socle assemblé à partir de cinq outils ne peut pas garantir, parce qu'il a cinq notions de « client ».

Une piste d’audit qu’on ne réécrit pas

Toutes les opérations sont journalisées, chaque entrée scellée cryptographiquement, avec l'adresse IP et le navigateur, et l'intégrité du journal se vérifie. Poser la question « qui a fait quoi, sur quelle ressource, dans quel client, le mois dernier ? » demande une requête — pas un projet de corrélation de journaux.

Une seule API GraphQL

1 620 opérations (737 requêtes, 867 mutations, 16 abonnements temps réel) derrière un point d'entrée unique et typé. Le temps réel passe par WebSocket avec un bus d'événements, et les droits s'y appliquent objet par objet — un abonnement ne renvoie rien de plus que ce que la personne a le droit de voir.

Vos objets métier arrivent avec leurs écrans

Dans presque toute application, il y a des choses qu'on suit : des dossiers, des interventions, des demandes, des incidents, des risques. Elles ont un état, un responsable, une échéance, un fil de discussion — et c'est systématiquement redéveloppé. Kore le fournit une fois pour toutes : on déclare le type d'objet et ses champs, et le kanban, le Gantt, le calendrier, le backlog, la feuille de route et « mes tâches » sont branchés dessus.

• Engagements de délai par catégorie et priorité, avec heures ouvrées, mises en pause et détection de dépassement.
• Assignations, commentaires, pièces jointes et historique des changements — sur n’importe quelle ressource, pas seulement sur des tickets.
• Formulaires publics d’admission qui créent directement le dossier, et génération automatique des tâches récurrentes.

Workflows et règles métier

Un moteur d'états avec éditeur visuel, neuf types de déclencheurs (alerte, audit, notification, playbook, minuteur, webhook…), des minuteurs et des escalades. À côté, un moteur de règles à arbres de conditions, avec surcharges par entité, simulation tracée et conformité persistée. Le mécanisme est fourni ; les processus et les règles restent ceux de votre organisation.

Documents et artefacts

Une arborescence de dossiers avec versions, réservation et verrouillage, et des droits fins par utilisateur, rôle, groupe ou client, propagés à l'arborescence. Six systèmes de stockage au choix — local, S3/MinIO, base, Redis, mémoire, hybride — avec URLs signées. À côté, les artefacts : fichiers versionnés, chiffrés au repos, avec métadonnées d'intégration continue et expiration.

Connecteurs de données

Plus de trente-cinq sources bidirectionnelles — SQL, NoSQL, REST, GraphQL, SOAP, fichiers, MQTT, iCal, fournisseurs SMS et d'IA — sous gouvernance : identifiants chiffrés, tunnel SSH, limitation de débit, disjoncteur, file d'attente, cache. La chaîne de transformation (aplatir, filtrer, trier, dédupliquer, valider, formater) se configure sans écrire de code, et le moteur de correspondances est versionné et réversible.

Traductions, thème et menus

Cinq langues (EN, FR, DE, ES, IT) sur tous les modules, avec surcharges éditables et un outillage qui vérifie qu'aucune clé ne manque ni ne traîne. Le thème clair/sombre et les couleurs se personnalisent par client et par application, et les entrées de menu sont pilotées par les permissions et la licence : un utilisateur ne voit pas un écran auquel il n'a pas droit.

Exports, RGPD et réversibilité

Export et import en CSV, JSON, YAML et XML sur toute ressource. Les consentements sont versionnés et immuables, avec re-consentement automatique à la publication ; l'export et l'effacement sont exécutables par la personne elle-même et se propagent aux applications de l'écosystème. Les données restent dans un PostgreSQL standard, sans format propriétaire : partir reste possible.

IA agentique, pas un assistant de plus

Kore expose un serveur MCP natif : un assistant manipule réellement les ressources, sous l'identité de l'utilisateur connecté, avec une politique d'accès en refus par défaut et une exécution en bac à sable. Une session charge les outils de toutes les applications de l'écosystème — sans jamais dépasser les droits de la personne qui la conduit.

Exploitation

Agents distants sur cinq types de cibles, exécution Ansible native (Vault, Galaxy, mode simulation), trente-et-un collecteurs d'état, console et terminal web, scans de sécurité orchestrés, tests automatisés Playwright et k6, déploiement en haute disponibilité avec certificats TLS provisionnés automatiquement.

Ce que ça change pour une application métier

ClubTT est la démonstration la plus simple de l'argument : un logiciel destiné à des associations bénévoles, vendu à un prix d'association, qui arrive pourtant avec une gestion de droits par dossier, une piste d'audit et un export complet. Non parce qu'on les a écrits pour lui, mais parce qu'il est posé sur Kore.

Kore se déploie tel quel, ou sert de socle à une application développée avec vous — clés en main, en co-construction, ou socle seul si votre équipe préfère développer sur l'API.

Ce que Kore ne fait pas

Autant le dire avant plutôt qu'au deuxième mois. Ces manques sont assumés et documentés ; ils ne sont pas contournés par une formulation habile.

• Pas de SSO entrant : ni OIDC ni SAML en entrée, pas de LDAP/AD, pas de SCIM, pas de connexion par un compte social. C'est disqualifiant pour un grand compte à annuaire central, et c'est la première priorité de la feuille de route.
• Pas de BPMN 2.0, pas de DMN, pas d'exécution durable façon Temporal : le moteur d'états couvre les processus métier, pas les standards de modélisation.
• La gestion documentaire n'a ni recherche plein texte, ni OCR, ni aperçu, ni co-édition en ligne : elle convient à du classement gouverné, pas à un usage bureautique de masse.
• Pas d'astreintes multi-niveaux ni de gestion d'incident complète : Kore ne remplace pas PagerDuty pour une équipe d'astreinte structurée.
• Trente-cinq connecteurs génériques à configurer, pas quatre cents prêts à cliquer comme chez un spécialiste de l'intégration.
• Pas d'application mobile native : l'interface web est adaptative, et c'est tout ce qu'elle est.
• Pas de garde-fous d'IA dédiés — ni détection de données personnelles ou de toxicité, ni analyse de coût par client.