ÉTUDE DE CAS · PRODUIT SAAS En production
Noorly : un SaaS B2B2C multilocataire, conforme et testé à grande échelle.
RôleArchitecte & développeur
MarchéInstitutions communautaires (QC)
Qualité8 340 essais automatisés
ConformitéLoi 25 by-design
PériodeDepuis fin 2024
01Le problème
Les institutions québécoises (écoles, conservatoires, centres sportifs, OBNL, services de garde) jonglent avec des outils éclatés pour les inscriptions, les paiements et la communication. Il fallait une base modulaire capable de servir plusieurs verticaux métier sans dupliquer la plateforme.
02Les décisions d'architecture
- Backend .NET 8 / C# en monolithe modulaire (Repository / UoW), multilocataire par filtre global EF Core : l'isolation des données est appliquée au niveau de l'ORM, pas laissée à la discipline des développeurs.
- Frontend Next.js 14 (Tailwind, design system, i18n FR/EN/AR) et mobile React Native / Expo, une application institution-aware.
- Paiement B2B2C via Stripe Connect : split de paiement, facturation à deux lignes, calcul automatique TPS + TVQ, plancher et plafond configurables.
- Loi 25 by-design : consentements tracés, journal d'actions sensibles, workflows d'accès / rectification / suppression, hébergement au Canada.
- Moteur NIS : génération d'emplois du temps par solveur de contraintes CP-SAT (OR-Tools), vendable seul ou intégré.
03L'ingénierie qualité et sécurité
8 340 essais automatisés, couverture totale toutes couches : bout en bout, interface de programmation, charge, accessibilité et essais orientés comportement, avec unitaires xUnit, bout en bout Playwright (web) et Maestro (mobile), intégration sur PostgreSQL réel, et des campagnes de sécurité documentées : éradication d'IDOR, correction de fuites AllowAnonymous, blocage d'une escalade de rôle. Chaque faille corrigée reçoit son verrou de non-régression.
Les domaines sensibles (calendrier hégirien, progression pédagogique, reçus fiscaux) sont protégés par des suites d'anti-régression dédiées.
04Ce que ça démontre
Architecture SaaS complète, multilocation, paiements et fiscalité, conformité réglementaire, sécurité applicative (OWASP), i18n, mobile, et une culture de l'essai héritée de dix ans d'assurance qualité.