Services
Des ingénieurs plateforme senior qui exploitent au quotidien des clusters EKS, GKE, AKS et bare-metal en production — pas un slide deck. Nous concevons la topologie des clusters, construisons des internal developer platforms, écrivons le pipeline GitOps, durcissons la sécurité au niveau CIS Benchmark, réduisons les factures cloud de 30–45 % grâce au FinOps, et assurons l'astreinte aux côtés de votre équipe pendant les trois premières releases. Équipes plateforme dédiées à partir de 12 000 EUR/mois. Sprints de migration et de mise à niveau à partir de 35 000 EUR fixes.
Kubernetes n'est pas le produit — la paved road que vos ingénieurs empruntent chaque jour, si. La plupart des équipes arrivent avec les trois mêmes problèmes : un cluster qui a grandi de façon organique et que personne ne maîtrise pleinement, une facture cloud qui a doublé alors que le trafic n'a augmenté que de 30 %, et un processus de déploiement qui nécessite encore un ingénieur senior aux commandes. Nous corrigeons les trois. La semaine 1 est un audit d'architecture et FinOps avec un ADR écrit. À partir de la semaine 2, nous livrons : GitOps avec Argo CD, Karpenter ou Autopilot pour le compute, Cilium pour le réseau et l'observabilité, Kyverno pour les policies, External Secrets pour les identifiants, et Backstage pour le self-service. Vos ingénieurs arrêtent d'écrire du YAML et se remettent à livrer des fonctionnalités.
EKS, GKE, AKS ou on-premise (kubeadm, Talos, Rancher RKE2). Control plane multi-AZ, stratégie de node groups, modèle de tenancy par namespace, fédération multi-cluster avec Cluster API quand l'échelle l'exige. ADR écrits au regard de vos SLO.
Argo CD ou Flux avec App-of-Apps, Helm + Kustomize par environnement, images signées via Cosign et Sigstore, Renovate pour les montées de version upstream, livraison progressive avec Argo Rollouts ou Flagger (canary, blue/green, traffic-shifted).
Pod Security Standards restricted, admission Kyverno ou OPA Gatekeeper, politiques réseau Cilium default-deny, IRSA/Workload Identity, détection runtime Falco, External Secrets via Vault ou AWS/GCP secret manager, dossier de preuves CIS Benchmark v1.9.
Kubecost ou OpenCost pour la refacturation, Karpenter ou Autopilot pour le compute élastique, adoption du spot/preemptible avec PDB, right-sizing piloté par VPA, HPA avec métriques personnalisées KEDA. Économie typique au premier trimestre de 30–45 % sur des factures de cluster à six chiffres.
Collecteurs OpenTelemetry, Prometheus + Thanos ou Grafana Mimir pour les métriques long terme, Loki ou Elastic pour les logs, Tempo ou Jaeger pour les traces, Grafana pour les dashboards, Alertmanager relié à PagerDuty/Opsgenie/Slack. Alertes pilotées par les SLO, pas par les pics CPU.
Portail développeur Backstage, Crossplane ou Terraform-controller pour les claims d'infrastructure en self-service, templates golden-path par type de charge, documentation paved-road dans Backstage TechDocs. L'onboarding d'un service passe de deux semaines à une PR.
Semaine 1 : revue de la topologie du cluster, scan kube-bench & kubescape, installation de Kubecost, inventaire IaC, entretiens d'astreinte. Nous livrons un dossier d'ADR écrit avec les 10 principaux risques et les 10 principaux gains de coûts classés par impact.
Semaines 2–4 : pipeline GitOps en service, Pod Security Standards restricted appliqués, policies Kyverno fusionnées, bascule d'External Secrets depuis le clair, déploiement de Karpenter ou Autopilot derrière un feature flag.
Semaines 5–12 : construction de l'IDP — portail Backstage, templates golden-path, claims Crossplane pour les cinq primitives d'infrastructure les plus demandées, pipeline OpenTelemetry, alerting basé sur les SLO. Co-construit avec votre équipe plateforme, pas livré par-dessus le mur.
Fenêtre de support de 90 jours après la mise en production. Revue hebdomadaire de la plateforme, rotation d'astreinte aux côtés de votre équipe, runbooks dans Backstage TechDocs, rapport FinOps mensuel avec les économies suivies par rapport au point de départ.
Audit de deux semaines à périmètre fixe. Topologie du cluster, socle de sécurité, FinOps, maturité GitOps, lacunes d'observabilité. Dossier d'ADR écrit avec une feuille de route de remédiation priorisée. À partir de 18 000 EUR fixes.
Sprint à périmètre fixe de 8–12 semaines : lift-and-shift depuis VMs/ECS/App Service vers EKS/GKE/AKS, ou mise à niveau v1.24 vers v1.31 sur un parc. SOW écrit, facturation au jalon, support post-bascule de 90 jours. À partir de 35 000 EUR fixes.
2 ingénieurs plateforme senior + tech lead, intégrés à votre équipe, journée de travail en heure d'Europe centrale (CET) avec chevauchement avec la côte est des États-Unis. Exploite la plateforme, construit l'IDP, assure l'astreinte. À partir de 12 000 EUR/mois par équipe dédiée.
Engagement minimum de trois mois sur les forfaits récurrents, puis au mois le mois avec un préavis de 30 jours. NDA, DPA et cession de la propriété intellectuelle signés avant le démarrage.
Application VPN WireGuard grand public pour iOS et Android, à architecture zéro log, lancée aux États-Unis et en Europe.
Refactorisation et reconstruction Android + iOS pour un opérateur logistique allemand du dernier kilomètre — planification d'itinéraires multipoints, suivi des chauffeurs en temps réel et facturation in-app, en service dans l'UE.
Clients de signature électronique iOS et Android natifs avec un CRM Symfony + React pour un cabinet d'avocats transfrontalier — onboarding KYC et piste probante défendable pour les dossiers aux États-Unis et en Europe.
Conforme au RGPD · prêt pour ISO 27001 · SOC 2 Type II en cours · RGPD Schrems II + SCC + résidence des données dans l'UE
Chaque senior de la mission a été d'astreinte sur du Kubernetes en production pendant 5 ans et plus — certifié CKA/CKS, contributeur aux projets CNCF upstream, et de ceux qui débuguent etcd à 3 h du matin, pas de ceux qui dessinent des boîtes sur des slides.
Nous exploitons EKS, GKE, AKS et on-premise en production et n'avons aucune préférence commerciale. L'ADR que vous recevez en semaine 1 est noté au regard de votre charge de travail — pas du cloud qui nous a accordé une ristourne le trimestre dernier.
CIS Kubernetes Benchmark v1.9, dossiers de preuves SOC 2 Type II, contrôles de l'Annexe A d'ISO 27001, garde-fous techniques HIPAA, résidence des données dans l'UE avec clauses Schrems II et SCC inscrites dans le DPA — nous avons tout livré.
Pour les charges réglementées (fintech, healthtech, govtech), nous montons des clusters avec un data plane exclusivement dans l'UE, des clés de chiffrement gérées par le client (KMS BYOK), et un bundle de policies Kyverno auditable prêt pour le prochain audit ISO ou SOC 2.
Agréger les prix en direct sur plusieurs plateformes d'échange tout en maintenant une latence sous 500 ms relève d'une ingénierie réellement ardue. YuSMP a réuni le flux multi-plateformes, les graphiques de tokens en temps réel et le workflow de listing dans une plateforme cohérente. Nous n'avons connu aucune interruption depuis le lancement.
Le contrôle des procédés dans un environnement de réacteur ne peut tolérer aucune coupure de connectivité. YuSMP a livré un MES offline-first qui capture chaque étape de manière fiable et se synchronise avec le serveur central sans perte de données. La préparation aux audits, qui prenait autrefois des jours, ne prend plus que quelques minutes.
Le choix tient rarement au control plane (les trois sont conformes et stables) et presque toujours à ce qui l'entoure. Choisissez EKS si votre data plane vit déjà dans AWS — VPC CNI, IRSA pour IAM, ALB Ingress, Karpenter pour l'autoscaling et EBS CSI sont natifs et s'intègrent au reste du périmètre AWS. Choisissez GKE si vous voulez l'expérience la plus opinionated : Autopilot supprime totalement la gestion des nœuds, Workload Identity est le lien service-account-vers-IAM le plus propre du marché, et la cadence de mise à jour est la plus agressive. Choisissez AKS si vous êtes une entreprise sur Entra ID et Azure Policy — la gestion de l'IAM et de la conformité y est la plus fluide. Pour un projet greenfield sans biais cloud existant, nous recommandons généralement GKE Autopilot. Nous réalisons cette évaluation en première semaine de chaque mission et rédigeons un ADR avec des compromis concrets notés au regard de votre charge de travail.
Par défaut, nous utilisons Argo CD pour la livraison applicative et Flux pour le bootstrap du cluster, tous deux avec le pattern App-of-Apps. L'infrastructure du cluster (VPC, node groups, IAM, clés KMS, rôles IRSA) est en Terraform ou Pulumi, stockée dans un dépôt séparé avec des policy gates OPA/Conftest en CI. Les manifests applicatifs vivent dans des charts Helm enveloppés par des overlays Kustomize par environnement. La promotion des images passe par un registre signé (Cosign + Sigstore) avec un bot Renovate qui ouvre des PR contre le dépôt GitOps. Une PR fusionnée sur main déclenche la synchronisation Argo. Le rollback est un git revert. Nous ne laissons jamais un humain faire kubectl apply en production.
Six contrôles, non négociables. (1) Pod Security Standards réglés sur restricted avec application par Kyverno ou OPA Gatekeeper. (2) Politiques réseau default-deny avec Cilium ou Calico, trafic explicitement autorisé par namespace. (3) IRSA sur EKS ou Workload Identity sur GKE/AKS — jamais d'identifiants statiques à longue durée de vie dans les secrets. (4) Signature des images via Cosign avec la politique d'admission verifyImages de Kyverno. (5) Détection runtime via Falco ou Tetragon, envoyée vers votre SIEM. (6) Secrets via External Secrets Operator adossé à AWS/GCP/Azure secret manager ou HashiCorp Vault — jamais de secrets en clair dans git. Nous durcissons selon le CIS Kubernetes Benchmark v1.9 et fournissons le dossier de preuves d'audit pour SOC 2 et ISO 27001.
Oui, et le FinOps Kubernetes est là où nous économisons le plus pour nos clients EKS et GKE. Approche standard : installer Kubecost ou OpenCost pour la refacturation au niveau namespace, basculer les node groups statiques surprovisionnés vers Karpenter ou GKE Autopilot, déplacer les charges stateless vers du spot/preemptible avec des PodDisruptionBudgets et des contraintes de répartition topologique, ajuster les requests et limits à l'aide des recommandations du Vertical Pod Autoscaler, et ajouter de l'HPA avec des métriques personnalisées de KEDA plutôt que CPU uniquement. L'économie typique au premier trimestre sur une facture EKS de 100k EUR/mois est de 30 à 45 pour cent sans toucher aux objectifs de fiabilité. Nous partageons le modèle d'économies avec la finance dans un rapport écrit mensuel.
Oui — c'est le cas de la plupart des missions qui dépassent six mois. Une stack IDP typique : Backstage pour le portail développeur, Crossplane ou Terraform-controller pour les claims d'infrastructure en self-service, Argo CD pour la livraison, Argo Workflows pour le batch et le ML, des runners Tekton ou GitHub Actions pour la CI, Istio ou Linkerd pour le service mesh, Cilium Hubble pour l'observabilité, des collecteurs OpenTelemetry envoyés vers votre APM. Nous n'inventons pas d'abstractions — nous assemblons les meilleurs projets CNCF en une paved road et la documentons dans Backstage. L'onboarding d'un nouveau service passe de deux semaines de YAML à un template Backstage + une PR.
Deux formats de mission. Équipe plateforme dédiée (2 ingénieurs SRE/plateforme senior + tech lead) à partir de 12 000 EUR/mois par équipe dédiée, engagement minimum de trois mois puis au mois le mois avec un préavis de 30 jours. Sprint de migration à périmètre fixe (lift-and-shift depuis VMs/ECS/App Service vers EKS/GKE/AKS, ou mise à niveau v1.24 vers v1.31 sur un parc) à partir de 35 000 EUR fixes pour un engagement de 8 semaines avec un SOW écrit, une facturation au jalon et une fenêtre de support post-bascule de 90 jours incluse. Nous ne facturons pas les déplacements au sein de l'UE, et les interventions sur site aux États-Unis sont facturées au coût réel sans marge.
Guides pratiques et analyses de nos ingénieurs pour 2026.
Partagez quelques détails et un consultant senior vous répondra sous un jour ouvré.
