Odizy Votre ERP Odoo, de la branche à la production
Manganese Des App Servers complets, n’importe quelle stack
Manganese DevFleet Remote dev agentique pour grands comptes
Sunray Zero TrustLa sécurité est une friction. Rendons-la invisible.
Sunray identifie chaque visiteur par passkey avant de le laisser atteindre vos applications : ERP, back-offices, outils internes, API. Pas de code à modifier, pas de client à installer, pas de mot de passe, pas de VPN.
En production chez Adekia, Mathon, Alter Eco Santé
« La sécurité est une friction, pas une fonctionnalité. Alors rendons-la abordable, utilisable et invisible. »
Abordable
Un tarif simple, sans négociation par fonctionnalité ni surprise. Le cœur est gratuit en auto-hébergement.
Utilisable
Les passkeys d’abord : aucun client à installer, aucun mot de passe à retenir. L’authentification devient un geste naturel, empreinte ou Face ID.
Invisible
ForwardAuth ou reverse proxy transparent : vos applications ne sont jamais modifiées, et le serveur reste hors du chemin des requêtes.
Un worker décide. Le serveur, lui, n’est consulté qu’à l’avance.
Le worker placé devant chaque application garde en cache la configuration des hôtes qu’il protège et répond depuis ce cache. Aucune requête de vos utilisateurs ne passe par le serveur Sunray.
Des passkeys, pas des mots de passe
Utilisateurs et passkeys dans l’annuaire de Sunray, pages de connexion servies sur le nom même de l’application.
Une panne serveur ne coupe pas l’accès
Configuration en cache jusqu’à 24 heures, sessions ouvertes valides jusqu’à leur expiration (1 h par défaut, réglable par hôte, 24 h au plus).
Vos adresses de confiance
Bureau, VPN ou sonde de supervision passent sans s’identifier ; une entrée illisible est signalée au lieu d’être ignorée.
Tout ce qu’il faut pour fermer la porte, rien de plus.
Passkeys WebAuthn FIDO2
Passkeys rattachées à chaque nom d’hôte, jetons d’enrôlement à usage unique. Zéro mot de passe.
Verrouillé par défaut
Tout le trafic est authentifié sauf exception explicite : règles publiques, par plage d’adresses ou par jeton.
Reverse proxy transparent
Worker ForwardAuth (Traefik, Nginx, Caddy) ou Worker Cloudflare en bordure. Aucune modification de l’application.
Résilience hors ligne
Pendant une panne du serveur, les workers servent depuis leur cache : les sessions ouvertes continuent jusqu’à leur expiration (24 heures au plus), seules les nouvelles connexions attendent son retour.
Audit de chaque accès
Authentifications, passkeys, sessions et violations journalisées côté serveur ; chaque session peut être listée et révoquée.
Console d’administration
Utilisateurs, hôtes, règles, sessions et workers gérés depuis une interface unique, accessible depuis vos IP de bureau.
Deux façons de placer le contrôle. Une seule configuration.
| Mode | Où se fait le contrôle | Pour qui |
|---|---|---|
| A · ForwardAuth, auto-hébergé | Un worker à côté de l’application, interrogé par Traefik, Nginx ou Caddy avant chaque routage. | Le point de contrôle reste dans votre périmètre. |
| B · Sunray Serverless, en bordure Cloudflare | Le worker est lui-même le reverse proxy, après les filtres de sécurité Cloudflare et avant le cache. | Vos applications sont déjà derrière Cloudflare. |
Sunray WorkerForwardAuth ou bord Cloudflaresunray-serverManagement centralhors chemin critiqueLe Worker valide les sessions depuis son cache local, sans appel au Server sur le chemin de la requête. Si le Server est injoignable, la configuration en cache est conservée jusqu’à 24 h : les sessions déjà ouvertes continuent jusqu’à leur expiration, seules les nouvelles connexions attendent son retour. Votre application ne reçoit jamais de trafic non authentifié.
Deux serveurs Sunray, actif et standby, état répliqué par PostgreSQL. Jamais exposés directement sur Internet.
Muppy publie la liste des noms à protéger ; Sunray la relit toutes les 5 minutes, et Muppy n’appelle jamais Sunray.
Chaque flux est documenté avec son protocole, son port et son sens d’ouverture, pour la revue de votre RSSI.
En quatre étapes. Déjà intégré à Manganese et Odizy.
Sur nos plateformes, Sunray s’active par modèle d’application : tous les noms d’un App Server sont protégés, y compris l’IDE et votre domaine personnalisé. Pour Muppy Enterprise, nous recommandons Sunray devant toute l’instance.
Déployez le serveur Sunray
Le plan de gestion : utilisateurs, passkeys, hôtes et règles d’accès. Un modèle d’App Server Sunray existe sur Manganese.
Choisissez votre worker
ForwardAuth à côté de votre reverse proxy, ou Worker Cloudflare en bordure.
Enregistrez vos passkeys
Vos utilisateurs reçoivent un jeton d’enrôlement et créent leur passkey au premier accès.
Vos applications sont protégées
Chaque accès est validé par passkey. Zéro mot de passe, zéro VPN.
Nous l’utilisons pour nous-mêmes d’abord.
Muppy
Infrastructure interne de développement, trafic quotidien.
Manganese
Protège les App Servers des clients du PaaS multi-tenant, trafic quotidien.
Adekia
Premier client externe autonome, sur un environnement indépendant du nôtre.
Ce que demandent les RSSI
En quoi est-ce différent d’un VPN ?
Pas de client à installer ni de tunnel à configurer : vos utilisateurs s’identifient par passkey (empreinte, Face ID) directement dans le navigateur, nom d’hôte par nom d’hôte.
Faut-il modifier mon application ?
Non. Le reverse proxy demande l’autorisation au worker avant de router la requête ; l’application la reçoit simplement, avec des en-têtes indiquant l’utilisateur et la session.
Faut-il un fournisseur d’identité ?
Non. Sunray a son propre annuaire d’utilisateurs et de passkeys. Rien à brancher ou à maintenir à côté.
Que se passe-t-il si le serveur Sunray tombe ?
La protection continue : chaque worker décide depuis son cache, et les sessions ouvertes restent valides jusqu’à leur expiration, 24 heures au plus. Seules les nouvelles connexions attendent le retour du serveur.
Quelle licence ?
Le cœur est source-available sous licence FSL-1.1, qui passe en Apache 2.0 deux ans après chaque version. Il est gratuit en auto-hébergement.
Quelles applications sont aujourd’hui accessibles à n’importe qui ?
Dressons la liste ensemble. En 30 minutes, on identifie vos applications exposées, le mode de déploiement adapté et ce qu’il faut pour les protéger.
Vous décrivez votre projet
Quatre champs, sans téléphone obligatoire.
On en parle 30 minutes
Architecture, contraintes d’hébergement, sécurité, reprise d’existant.
Vous recevez une proposition écrite
Périmètre, déroulé et chiffrage sur devis, appuyés sur la documentation publique.
Vous préférez tester d’abord ? Essayer Manganese, beta gratuite