Portfolio IDEO-Lab

- Volume documentaire massif (+5M documents hétérogènes)
- Besoin de performance backend (50–80 req/sec via API interne)
- Recherche IA hybride (RAG + BM25 + reranking embeddings)
- Intégration microservices hétérogènes (Python sync/async)
- Gestion fine des permissions (multi-tenant + RBAC + view-level ACL)
- Pipeline ingestion haute performance (8k docs/min)
- Migration progressive d’applications existantes
- Optimisation coût cloud (~20% demandé)
- Necessité d’une UX simple malgré forte complexité métier

- Backend Django 5 modulaire (accounts, docs, workflows, search, iam)
- Microservices event-driven via Redis Streams + Celery + FastAPI
- Séparation claire : monolith Django orchestrateur + microservices workers
- RAG maison : embeddings BERT + FAISS HNSW + reranking transformer
- Recherche mixte : BM25 (Elasticsearch) + vecteurs FAISS
- Pipeline ingestion parallélisé (asyncio + aiofiles + transformers CPU/GPU)
- API interne versionnée (DRF) + Webhooks + events
- Dashboard HTMX sans SPA, très rapide, léger
- Gestion fine des permissions (Object-level permissions + scopes API)
- Optimisation PostgreSQL : partitionnement doc_chunks + index GIN
- Observabilité : métriques ingestion IA, latence microservices
- CI/CD avec build ARM64+AMD64 + tests unitaires + tests E2E
- Déploiement sur AWS + auto-scaling ECS Fargate

- Ingestion documentaire : 1k docs/min → **8k docs/min** après optimisation
- Latence requêtes RAG : ~600 ms → **140–260 ms** (selon contexte)
- Temps d’accès aux documents : -35%
- API interne : 50–80 req/sec stable (95th percentile < 180 ms)
- Plateforme utilisée par 300+ employés dès lancement
- Automatisation workflows internes (~320h/mois gagnées)
- Coût cloud réduit de **18%** grâce à mutualisation microservices
- Adoption massive : +87% d’utilisation du backoffice RAG
- 0 incident critique en production sur 6 mois
- Index FAISS multi-tenant stable & scalable

Société : SkyGuard Robotics — Secteur : Drones autonomes & sécurité aérienne — Pays : USA

Projet : Création from scratch — Construire une plateforme complète basée sur Django 5 + microservices Python, avec un backoffice RAG interne, un système de workflows, une API interne haute performance, une stack DevOps moderne, et un moteur d’automatisation destiné aux équipes support & produit.

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
Celery CI/CD Django Django REST Framework Elasticsearch FAISS FastAPI HTMX Microservices PostgreSQL RAG Redis Streams S3 Terraform

Publication : Visible sur le site public IDEO-Lab

- Traitement IA embarqué contraint : <20W, GPU limité, pas de surchauffe
- Analyse vidéo temps réel (30–60 FPS) avec conditions difficiles
- Perte réseau fréquente (zones industrielles) → fallback offline
- Synchronisation du local au cloud : priorisation + compression
- Navigation autonome dans environnements instables
- Sécurité : drones exposés en extérieur (tentatives scan, spoofing)
- Temps de réponse stricts (<50 ms pour éviter obstacles)
- Consensus multi-drones (coordination flotte)

- Utilisation NVIDIA Jetson Orin + TensorRT pour accélération IA
- Quantification INT8 + pruning ciblé (x3 vitesse, x2 moins de RAM)
- Modèle YOLOv8 custom + segmentation légère (fast-seg)
- Tracking multi-objets via DeepSORT modifié
- Navigation autonome : fusion lidar + vision + inertiel IMU
- MQTT + protocole EdgeSync (compression + batch diff)
- WebRTC adaptatif selon bande passante
- Sécurité : TLS mutuel, rotation des certificats, whitelisting IP, IDS léger
- Backend cloud Django 5 + Postgres + S3 + analytics IA (pandas, duckdb)
- Replay vidéo + heatmaps détectées dans Grafana
- CI/CD cross-compilation : Docker multi-arch (arm64 + CUDA)

- Performance IA embarquée : 38 FPS moyenne (Jetson Orin) → objectif atteint
- Détection d’intrusions : +92% précision / ~7% faux positifs
- Navigation autonome stable même en low-light & vent fort
- Latence streaming : 110–140 ms (WebRTC)
- 100% des drones opérationnels en mode offline (fallback Edge-only)
- Temps de survie batterie amélioré de 17% (optimisations compute)
- Synchronisation cloud robuste même après longues coupures
- Système validé sur 600+ heures de vols autonomes
- Accélération des analyses cloud multi-drones (zones rouges, heatmaps) réduite par 8x

Société : GlobeStream Edge Delivery — Secteur : Internet Infrastructure & CDN — Pays : USA

Projet : Architecture IA / RAG / LLM — Développer un module IA embarqué (vision + navigation) pour drones autonomes, capable d’analyser en temps réel la scène, détecter anomalies, éviter obstacles, et synchroniser partiellement le traitement avec le cloud pour analyse lourde.

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
Autonomous Navigation Celery Computer Vision DeepSORT Django Drones DuckDB Edge AI Jetson MQTT ONNX S3 SLAM TensorRT WebRTC

Publication : Visible sur le site public IDEO-Lab

- Très fort volume d’attaques en continu (+200k évènements/jour)
- Attaques ciblant spécifiquement des endpoints sensibles (/admin, /auth)
- Besoin d’un WAF interne (pas de Cloudflare, pas de service externe autorisé)
- Gestion simultanée des exigences RGPD (cercles de logs, anonymisation IP)
- Support d’un IAM hybride (JWT + certificats clients mTLS)
- Système de mise à jour GeoIP2 totalement offline
- Impératif : 0 downtime (contraintes gouvernementales)

- Nginx renforcé : worker_processes auto, reuseport, epoll, caching OCSP
- TLS 1.3 Strict + cipher suite restrictive + anti-protocol downgrade
- Reverse proxy avec isolation complète des upstreams + headers HIDS
- WAF interne basé sur :
• matching RegEx haute performance
• heuristiques sur longueurs d’URI / payload
• détection de robots via timing + signatures UA
- IAM : JWT RS256 + certificats mTLS (double validation)
- GeoIP2 : blocage par pays, VPN connus, TOR exit nodes, ranges AS
- Rate limiting dynamique : burst scaling, penalty box, deny +444
- Journaux structurés → Loki (format JSON enrichi)
- Détection d’anomalies via PromQL (pics par pays, UA suspects)
- Scripts Python pour monitoring des patterns d’attaque
- Systeme de 'Panic Mode' (verrou global admin en cas d'attaque L7 massive)

- Réduction de 92% des requêtes malveillantes atteignant l’app backend
- Latence globale réduite de 15% malgré les règles WAF (optimisation Nginx)
- Plus aucun accès admin depuis l’étranger (GeoIP2 + IAM)
- Diminution de 80% du trafic bots (UA heuristiques + JS-token challenge)
- Détection automatique de scans (+26 incidents bloqués/semaine)
- Aucun incident en production depuis le déploiement
- Conformité RGPD sécurisée (anonymisation IP dynamique)
- Observabilité temps réel : 1 tableau de bord = 100% de visibilité des attaques

Société : NorthByte Analytics — Secteur : FinTech & Data Warehousing — Pays : Canada

Projet : Sécurité / durcissement — Déployer un système de défense avancé Nginx + IAM interne + WAF custom + blocage GeoIP2 pour sécuriser une plateforme critique exposée à des attaques continues (bots, scans, crawlers frauduleux, brute force, DDoS léger).

Confidentialité : Semi-public (détails partiels)

Code : Non communiqué

Tags techniques :
Anti-Bots GeoIP2 IAM JWT Loki mTLS Nginx Prometheus Rate Limiting Reverse Proxy Security Terraform TLS 1.3 WAF

Publication : Visible sur le site public IDEO-Lab

- Migration sans downtime sur 12 microservices critiques
- Multi-cluster avec réplication des configs GitOps
- Sécurité : conformité ISO27001 + segmentation réseau stricte
- Montée en charge : 30k req/min → objectif 120k req/min
- Optimisation cost control AWS (EC2 / EKS / LB / EBS)
- Gestion des secrets et rotation automatique
- Déploiement edge (Europe + Amérique du Nord)

- Architecture Cloud Native basée sur EKS (managed node groups + spot instances)
- Terraform modulaire + workspaces multi-region
- Stratégie GitOps : ArgoCD + auto-sync + policy enforcement
- Service Mesh Linkerd pour MTLS et observabilité avancée
- OPA Gatekeeper pour la conformité & sécurité proactive
- Logging unifié : Loki + FluentBit + Promtail
- Caching global Redis + optimisation des conteneurs
- Déploiements canary + progressive delivery
- Cluster autoscaling (Karpenter) pour optimisation coûts/performance

- Disponibilité mesurée sur 6 mois : **99,985%**
- Coûts AWS réduits de **31%** après optimisation spot/Karpenter
- Latence moyenne divisée par 2 sur les services critiques
- Temps de déploiement : 14 minutes → **2 minutes** (GitOps)
- Taux d’incident P1 divisé par 4 en 3 mois
- Équipe DevOps passée de 7 à 11 personnes formées à K8s & GitOps
- Plateforme devenue la base de tous les nouveaux projets FusionLabs

Société : Aurora Vision Labs — Secteur : Computer Vision & IA industrielle — Pays : France

Projet : Migration / Replatforming — Transformer l’infrastructure legacy de FusionLabs en une plateforme cloud-native multi-cluster, résiliente et totalement automatisée via Kubernetes (EKS) et Terraform.

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
ArgoCD AWS EKS DevOps Docker GitOps Grafana Helm Karpenter Kubernetes Prometheus Service Mesh Terraform

Publication : Visible sur le site public IDEO-Lab

- Contexte multi-acteurs (plusieurs organisations, cultures et systèmes IT)
- Contrainte forte sur la continuité de service : indisponibilité non tolérée sur les systèmes OPS
- Préservation de la performance : l’introduction de contrôles Zero Trust ne doit pas dégrader les temps de réponse
- Compatibilité avec certains systèmes legacy non prévus pour l’auth forte
- Gestion des accès nomades (pilotes, techniciens en piste, équipes multi-sites)
- Harmonisation entre environnements cloud, datacenter privé et réseaux OT 'doux'
- Exigences réglementaires et audits fréquents (aviation + RGPD + normes internes).

- Mise en place d’un IdP central (SSO / OIDC / SAML) avec MFA obligatoire pour les comptes OPS et administrateurs
- Définition de 'personas' (OPS sol, OPS vol, maintenance, backoffice, fournisseurs) avec RBAC très strict
- Micro-segmentation via pare-feux L7 et policies logiques (tags, groupes dynamiques) plutôt que purement IP
- Introduction d’un ZTNA / proxy d’accès pour publier les applications internes sans ouvrir le réseau (reverse-proxy + tunnel chiffré)
- Authenticité des devices : vérification de posture (OS à jour, chiffrement disque, EDR actif) avant accès
- Deployment de gateways d’accès pour les outils legacy non SSO (wrapping + MFA + bastion)
- Mise en place d’un SIEM central (logs IdP, proxys, firewalls, OS, endpoints) et de règles de détection
- Corrélation des accès par localisation, horaire, rôle, et sensibilité applicative
- Mode 'step-up MFA' : renforcement automatique (MFA, re-auth) lors d’actions sensibles (modif plan de vol, accès données passagers)
- Généralisation du chiffrement TLS (interne/externe), rotation des secrets et clés KMS
- Campagne de formation sécurité ciblée (pilotes, techniciens, équipes IT).

- Diminution de 70% des accès réseau 'plats' (passage de VPN large à accès applicatif ciblé)
- Réduction drastique des comptes à privilèges 'dormants' (−60%) grâce à la revue IAM
- Mise sous contrôle des accès à distance : 100% des accès admins + OPS critiques sous MFA
- Détection précoce de plusieurs tentatives d’accès anormales (géographie/horaires incompatibles avec les plannings)
- Meilleure lisibilité des flux : cartographie fine des applications et de leurs dépendances
- Aucun incident majeur sur les systèmes critiques durant les phases de déploiement
- Conformité renforcée : audits internes et externes passés avec succès
- Adoption positive des équipes OPS grâce à des parcours SSO simplifiés et une diminution des comptes/mots de passe multiples.

Société : NovaSphere Digital Platform — Secteur : SaaS Enterprise / Knowledge Management — Pays : France

Projet : Sécurité / durcissement — Concevoir et déployer une architecture Zero Trust avec IAM unifié, micro-segmentation réseau et contrôle d’accès granulaire pour des systèmes critiques de l’aviation civile (compagnies, aéroports et centres de contrôle).

Confidentialité : Semi-public (détails partiels)

Code : Non communiqué

Tags techniques :
Ansible Aviation IAM KMS MFA Micro-segmentation RBAC Security SIEM SSO Terraform TLS Zero Trust ZTNA

Publication : Visible sur le site public IDEO-Lab

- Environnements multi-cloud (AWS + GCP) avec politiques de sécurité différentes
- Migration de jobs batch et services legacy vers Nomad sans downtime perceptible
- Harmonisation des secrets (Vault) alors que chaque équipe avait son propre système
- Besoin de self-service pour les développeurs, sans compromettre la sécurité
- Gestion fine des coûts : éviter de dupliquer l’infrastructure inutilement
- Nécessité d’avoir une plateforme exploitable par l’équipe NOC 24/7

- Mise en place d’un 'Control Plane' HashiCorp sur AWS (Nomad / Consul / Vault en HA)
- Workers Nomad répartis sur AWS et GCP, avec tagging par région / équipe / criticité
- Modules Terraform standardisés pour créer des jobs Nomad + les ressources associées (LB, logs, métriques)
- Intégration profonde GitHub Actions ↔ Terraform Cloud pour les plans/apply
- Séparation des secrets applicatifs, infra, et credentials cloud dans Vault avec policies dédiées
- Modèle de self-service : chaque équipe dispose d’un repo 'service-template' avec pipelines préconfigurés
- Dashboards Grafana + alertes Prometheus tournés vers les métriques Nomad & Consul (allocations, CPU, mémoire, restart, latence HTTP)
- Documentation complète (runbooks, guides de migration, patterns d’architecture) accessible via un portail Django interne

- Temps moyen de déploiement d’un service : 45 minutes → 5 minutes
- 80+ microservices migrés en 8 mois, sans incident majeur de disponibilité
- Réduction de 28% du coût infra global (meilleure densité et autoscaling Nomad)
- 95% des nouveaux services créés via les templates standardisés (GitHub Actions + Terraform)
- Incident P1 lié à la configuration / déploiement : quasiment nul sur les 6 derniers mois
- Satisfaction des équipes produit : +4,6/5 lors du sondage interne sur la nouvelle plateforme

Société : FusionLabs Cloud Engineering — Secteur : Cloud Computing & DevOps — Pays : Germany

Projet : Automatisation / CI/CD — Construire une plateforme DevOps unifiée, basée sur la stack HashiCorp (Terraform, Packer, Nomad, Consul, Vault), capable de déployer et d’observer 80+ microservices sur AWS et GCP avec des pipelines CI/CD standardisés.

Confidentialité : Semi-public (détails partiels)

Code : Privé client

Tags techniques :
CI/CD Consul DevOps Django Portal GitHub Actions HashiCorp Nomad Multi-cloud AWS / GCP Observabilité Packer Terraform Vault

Publication : Visible sur le site public IDEO-Lab

- Besoin d’un firmware totalement stable (zéro crash permis)
- Contrainte d’énergie extrême (capteurs LoRaWAN sur batterie 3 ans)
- Radio LoRaWAN congestée (montagnes, interférences)
- Traitement IA embarqué avec très peu de RAM
- Synchronisation offline > 48h en environnements isolés
- Sécurité : attaques MITM, spoofing, falsification MQTT
- Pipeline cloud avec ingestion > 150k msg/min
- Jumeaux numériques très précis (état mécanique + contextes opérationnels)

- Firmware Rust : ownership, lifetimes, pas de corruption mémoire
- Async ultra-optimisé (tokio-lite + mio + zero-copy)
- IA embarquée : modèles quantifiés (int8), <1 Mo RAM
- Compression IA (autoencoder léger) → -65% données
- MQTT 5.0 avec QoS adaptatif, batching smart
- LoRaWAN optimisé : ADR, sélection fréquence, retry contrôlé
- EdgeSync (Rust) avec journalisation locale + replay
- Gateway Rust + Linux durci (apparmor, seccomp, read-only FS)
- Cloud ingestion : Kafka + Flink + Delta Lake
- Metadata & digital twins : state machines + historisation Delta
- API admin : provisioning devices + signature certificats
- Observabilité IoT complète (Prometheus, Tempo, Loki)
- Pipeline OTA (over-the-air) sécurisé (TUF-like signatures)

- Crash firmware réduit de 98% → quasi zéro incident sur 6 mois
- Batterie capteurs : +32% d’autonomie moyenne
- Réduction données envoyées cloud : -62% (Edge AI + compression)
- Latence MQTT → traitement cloud : **220 ms** moyenne
- Synchronisation offline robuste : jusqu’à 72h sans perte de données
- Sécurité : aucun succès lors des tests Red Team sur Edge Gateway
- Débit cloud stable : **150k msg/min** sans perte
- Digital twins adoptés par les équipes terrain (visu temps réel équipement)
- Plateforme utilisée par 15 sites industriels majeurs
- ROI +40% sur maintenance prédictive et alertes anticipées

Société : NorthWind Data Systems — Secteur : Big Data, Analytics & Real-Time Intelligence — Pays : Germany

Projet : Création from scratch — Concevoir une plateforme IoT industrielle, ultra fiable, avec firmware Rust, communications MQTT/LoRaWAN, traitements Edge AI embarqués, pipeline cloud, dashboards temps réel et digital twins industriels.

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
Delta Lake Digital Twins Edge AI Flink IoT Industriel Kafka Linux Hardened LoRaWAN MQTT 5 OTA Updates Rust S3 Terraform TinyML

Publication : Visible sur le site public IDEO-Lab

- Support multi-tenant (Standard vs Premium) tout en gardant une architecture réutilisable
- Contraintes réglementaires (données EU vs données US)
- Nécessité de basculer certains clients existants sans interruption majeure
- Maîtrise des coûts dès le design (choix des instances, S3 lifecycle, reserved/spot)
- Gestion fine des secrets et permissions IAM (principle of least privilege)
- Mise en place d’un plan de reprise d’activité multi-region (DRP).

- Mise en place d’une Landing Zone AWS Organizations avec comptes séparés : core, security/logging, prod EU, prod US, non-prod
- VPC par environnement avec subnets privés pour les workloads et subnets publics minimum (ALB, bastion contrôlé)
- Architecture microservices sur ECS Fargate (API / workers) + quelques fonctions Lambda pour les tâches événementielles
- RDS PostgreSQL Multi-AZ, paramétrage fin (max_connections, work_mem, autovacuum adapté à la charge SaaS)
- S3 avec stratégies lifecycle (Standard → IA → Glacier) pour logs et archives facturation
- CloudFront + Route 53 pour une exposition globale, avec certificats ACM et redirection HTTPS obligatoire
- Secrets gérés via AWS Secrets Manager + rotation automatique des credentials DB
- IAM : rôles par service + policies minimales (least privilege) + comptes IAM individuels + MFA obligatoire
- CI/CD GitHub Actions : build images Docker, push ECR, déploiement ECS Fargate via jobs Terraform ou aws-cli blue/green
- Plan DR : réplication asynchrone des données critiques vers us-east-1, scripts d’activation rapide des stacks Terraform, procédure documentée.

- Mise en production de la nouvelle plateforme en 11 mois sans incident majeur
- SLA appli : 99,97% la première année
- Capacité de montée en charge x4 sans ré-architecture majeure
- Réduction des coûts infra d’environ 25% par rapport à l’ancienne infra hybride
- Time-to-market pour un nouveau client Premium : de plusieurs semaines → quelques jours
- Visibilité accrue : dashboards temps réel sur charge, erreurs, latence et coûts
- Audits sécurité internes validés (IAM, chiffrement, RGPD, backup/restore).

Société : SafeTech Global Defense — Secteur : Cybersécurité & Infrastructures critiques — Pays : Switzerland

Projet : Création from scratch — Concevoir et déployer une architecture AWS complète pour une plateforme SaaS multi-tenant (Europe / US), hautement disponible, sécurisée et optimisée en coûts, avec séparation stricte des environnements et automatisation IaC.

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
AWS Cloud Architecture CloudFront ECS Fargate FinOps GitHub Actions KMS Multi-tenant RDS PostgreSQL Route 53 S3 Secrets Manager Terraform VPC

Publication : Visible sur le site public IDEO-Lab

- Débit ultra élevé (1,5M msg/min IoT industriels)
- Garanties exactly-once (transactions Flink + Kafka)
- Gouvernance data multi-business units (finance, IoT, produit)
- Qualité des données hétérogènes (formats, schémas, périodes)
- Scalabilité du Lakehouse (S3 + Delta + queries lourdes)
- Backpressure streaming à gérer en continu
- Optimisation coûts cloud (stockage + compute)
- RTO faible pour incidents (plateforme mission-critique)
- Besoin d’une visualisation en temps réel (<3 sec) pour plusieurs KPIs

- Kafka multi-AZ (3 brokers + replication factor 3)
- Compression Snappy + partitions adaptées (hot topics split)
- Flink stateful avec checkpoints réguliers, savepoints, HA
- Data Lakehouse Delta : bronzing → cleaning → gold KPIs
- Orchestration Airflow + dbt pour modèles SQL
- Trino pour requêtes interactives à grande vitesse
- S3 + Glue Catalog + ACID Delta transactions
- Kubernetes (EKS) pour Flink + Trino + Airflow
- Monitoring avancé (Grafana, Prometheus, Flink UI)
- OpenTelemetry pour traces cross-services
- Sécurité zéro-trust Data : IAM, PrivateLink, encryption KMS
- CI/CD data (unit tests, tests volcaniques, data contracts)
- Moteur d’alertes anomalies contenu (Flink CEP + modèles ML light)

- Capacité ingestion : **1,5M msg/min** → élasticité confirmée (auto-scaling)
- Latence end-to-end (IoT → Lakehouse) : **2,3 secondes**
- Coût stockage réduit de **28%** via compaction Delta & Z-Ordering
- Temps moyen requêtes BI (-40%) grâce à indices Delta + Trino
- 100% des transformations versionnées et testées via dbt
- Visibilité complète grâce à traces OTel + dashboards Big Data
- SLA analytics amélioré (99,95%) et incidents divisés par 4
- Adoption des équipes Data : +300 modèles dbt créés en 6 mois
- Pipeline ML upstream alimenté en quasi temps réel
- Requêtes Data Science 10x plus rapides (Trino + Delta Gold)

Société : AeroSecure Alliance (anonymisé) — Secteur : Sécurité aérienne, compagnies aériennes & contrôle du trafic — Pays : France

Projet : ARCHITECTURE — Concevoir et mettre en production une plateforme Big Data temps réel basée sur Kafka, Flink, Delta Lake et un Data Lakehouse moderne permettant ingestion massive, traitement temps réel, stockage optimisé et analytics avancés pour plusieurs équipes data & produit.

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
Airflow Big Data Data Lakehouse dbt Delta Lake EKS Flink IoT Kafka MQTT S3 Streaming Terraform Trino

Publication : Visible sur le site public IDEO-Lab

- Absence de processus de déploiement standardisés (scripts ad-hoc, interventions manuelles en SSH).
- Environnements hétérogènes entre DEV, TEST et PROD.
- Observabilité limitée : logs dispersés, peu d’alerting.
- Contexte industriel contraint : fenêtre de maintenance réduite, exigence de disponibilité > 99,95 %.
- Equipes réparties sur plusieurs sites (US / Europe).

- Architecture cible sur AWS : VPC segmenté (public/privé), bastion SSH, EC2, RDS, S3.
- Pipeline CI/CD GitLab : build, tests, packaging, déploiement automatisé.
- Standardisation Linux/Nginx/Gunicorn/Supervisor via Ansible.
- Mise en place d’un socle d’observabilité (logs centralisés, métriques, alertes).
- Transfert de compétences et documentation (runbooks, guides d’exploitation).

- Déploiements passés de plusieurs heures manuelles à moins de 15 minutes.
- Disponibilité mesurée > 99,97 % sur 6 mois.
- Réduction nette des incidents liés aux mises en prod.
- Meilleure visibilité sur la production (dashboards, alertes proactives).
- Socle technique industrialisé pour l’arrivée de nouveaux Dev/DevOps.

Société : AeroCloud Systems Inc. — Secteur : Cloud computing & IoT industriel — Pays : USA

Projet : Migration / Replatforming

Confidentialité : Semi-public (détails partiels)

Code : Non communiqué

Tags techniques :
AWS EC2 / VPC CI/CD GitLab DevOps Monitoring & Observabilité

Publication : Visible sur le site public IDEO-Lab

- Déployer un Anycast effectif sur 5 continents sans perturber la clientèle existante
- Mitiger des vagues DDoS L3/L4 récurrentes (~200k packets/sec)
- Maintenir la cohérence des configs réseau entre PoPs
- Réduction de la latence API dans les zones éloignées (>250ms → <100ms)
- Peering BGP complexe avec IXP + règles spécifiques par région
- Observation fine du jitter (impact direct sur flux vidéo)
- Gestion de SLA stricts (>99.99%) sans interruption lors des bascules DNS
- Harmonisation du CDN interne + CDN public (CloudFront)

- Architecture Anycast basée sur Bird + multiples upstreams ISP
- PoPs régionaux Virtual Routers (VyOS) + Nginx Edge cache
- CDN hybride : 70% serveurs internes, 30% CloudFront fallback
- Route 53 Latency Routing + failover automatique (TCP health checks)
- BGP communities + local pref pour influencer les chemins intercontinentaux
- Mitigation DDoS native : limites L3 + firewall stateful + SYN cookies renforcés
- Activation HTTP/3 / QUIC pour améliorer la perf mobile (APAC + LATAM)
- Peering direct avec IXPs majeurs (AMS-IX, LINX, DE-CIX) pour réduire les hops
- S3 + CloudFront pour les contenus statiques 'global distribution'
- Latency probes continue (ICMP, DNS, HTTP) + alerting dynamique
- Automatisation via Terraform + Ansible + scripts Python (BGP, health checks)
- Intégration avec Grafana (heatmaps latence/jitter per-region)
- Plan de DR : désactivation d’un PoP en 60 secondes via failover DNS + BGP withdraw

- Latence API moyenne : 210–260 ms → **80–110 ms** (selon région)
- Jitter réduit de **-58%** en Amérique du Sud et APAC
- Charge backend réduite de **35%** grâce à l’edge caching interne
- Disponibilité globale mesurée : **99.991%** sur 90 jours
- Attaques DDoS L3/L4 absorbées sans impact utilisateur
- Accélération vidéo + CDN : +25% sur les zones à faible connectivité
- Routes Anycast optimisées (path preference) → réduction de 2–3 hops en moyenne
- Réduction du coût CloudFront de 20% (edge interne absorbant +70% du contenu statique)
- Amélioration significative de l’expérience mobile (HTTP/3)

Société : SkyBeam SaaS Platform — Secteur : SaaS B2B – Analytics & Billing — Pays : Ireland

Projet : ARCHITECTURE — Mettre en place un réseau mondial basé sur Anycast + CDN hybride pour réduire la latence internationale, absorber les pics de trafic et accélérer les API critiques via PoPs régionaux et DNS haute performance (Route 53 + NS Anycast).

Confidentialité : Semi-public (détails partiels)

Code : Non communiqué

Tags techniques :
Ansible Anycast BGP CDN CloudFront DDoS Mitigation Global Networking HTTP/3 Nginx Edge Peering Route 53 Terraform VyOS

Publication : Visible sur le site public IDEO-Lab

- 20+ sources logs différentes (Linux, Windows, VPN, FW, Proxy, DB, ICS)
- Supervision multi-régions (5 datacenters européens)
- Très fort volume logs (> 6 To/jour)
- Corrélation en temps réel (< 3 secondes)
- Détection multi-niveaux (EDR + réseau + logs applicatifs)
- Contraintes réglementaires (NIS2, RGPD, aviation/énergie)
- Menaces APT, tentatives latéralisation, brute force massif
- Besoin d’une investigation cross-sources (logs + traces + flows)
- Réduction MTTR drastique (objectif < 10 minutes niveau 1)

- Architecture SIEM distribuée (OpenSearch clusters multi-AZ)
- Pipeline ingestion haute performance (Kafka → Logstash → OTel)
- Normalisation des logs (ECS schema + ID mapping)
- EDR/XDR CrowdStrike + Sysmon sur postes Windows
- Rules Sigma converties + règles maison (DNS, SSH, escalations)
- Systèmes de détection comportementale (Python/ML léger)
- Moteur correlation temps réel (OpenSearch Dashboards + Alerting)
- HoneyNet interne (SSH, RDP, Web, OT modélisé)
- Threat Hunting via :
• Sigma queries HL
• OSQuery packs custom
• YARA rules pour binaire suspect
• utilisation de JupyterSec pour hunting guidé
- Zero Trust : mTLS interne + segmentation micro-zones + IAM durci
- SOAR : containment auto (désactivation comptes, blocage IP FW, tags EDR)
- Dashboards : flux suspects, lateral movement, IOC hits, MITRE ATT&CK maps
- Red Team re-tests jusqu’à couverture >95% des TTP connus

- Réduction MTTD : de 2h50 → **2 minutes 40** en moyenne
- Réduction MTTR : de 1h45 → **11 minutes** grâce au SOAR
- Détection + blocage auto de 14 campagnes brute-force en 3 mois
- Détection immédiate mouvement lateral (règles Sysmon + XDR)
- 98% des IOC de l’année couverts par le SIEM
- 6 To/jour traités + retention 180 jours (S3 + index chauds/froids)
- Aucun incident critique non détecté durant les audits
- Red Team : 3 intrusions simulées → 3 détectées / 3 stoppées
- Adoption totale par équipes sécurité + comités direction
- Certification NIS2 obtenue pour l’ensemble du périmètre
- Threat Hunting 24/7 actif → avis TI améliorés (faux positifs -37%)

Société : Helion Industrial Systems — Secteur : IoT Industriel & Automatisation — Pays : Norway

Projet : Sécurité / durcissement — Mettre en place un SOC complet, un SIEM unifié et une cellule de Threat Hunting pour protéger les systèmes critiques (gouvernements, énergie, transport), avec corrélation multi-sources, détection comportementale, threat intelligence et réponse aux incidents.

Confidentialité : STRICT

Code : Non communiqué

Tags techniques :
Cyber Defense EDR ELK Honeypots Kafka OpenSearch OTel SIEM Sigma SOAR SOC Threat Hunting XDR Zero Trust

Publication : Visible sur le site public IDEO-Lab

- 12 000 transactions par seconde à maintenir en prod
- Many-to-many avec tables de plusieurs milliards de lignes
- Index trop volumineux pour tenir en RAM
- Autovacuum extrêmement lent (72h pour certaines tables)
- Forte fragmentation : bloat > 35% sur plusieurs index
- Verrous exclusifs à éviter absolument (SLA strict)
- Nécessité de migrer vers Pg15 sans interrompre le trafic financier
- Conformité PCI-DSS à respecter pendant toutes les opérations

- Tuning boîte noire du planificateur (random_page_cost, cpu_tuple_cost, cpu_index_tuple_cost)
- Index partiels ciblant les cas d’usage 80/20
- Mise en place d’indexes 'covering' (INCLUDE) pour réduire les seq-scans cachés
- Table partitionnée en monthly chunks + pruning efficace
- Autovacuum boosté (scale_factor réduit, cost_limit augmenté, workers x4)
- Vacuum FULL + REINDEX CONCURRENTLY sur index critiques
- Migration PostgreSQL 12→15 via logical replication parallèle
- Mise en cache des plans via pgbouncer (transaction pooling)
- Analyseur SQL interne (Django) pour détecter les queries 'à risque'
- Compression WAL + archivage S3 optimisé
- Travail conjoint avec backend pour réécrire certaines queries complexes
- Ajout d’extensions : pg_stat_kcache, pg_cron, pg_partman

- Latence moyenne des requêtes critiques : 52 ms → **7,8 ms**
- Réduction du coût CPU PostgreSQL : **-42%**
- Autovacuum désormais < 8h sur toutes les tables (avant jusqu’à 72h)
- Volume bloat réduit de **35% à 3%** sur les tables clés
- Taille totale des index : -28% après refactoring
- Throughput global : +55%
- Aucun downtime durant la migration 12 → 15
- Amélioration de 30% du scoring réglementaire temps réel (réactivité)
- Équipes backend formées, meilleure culture SQL/DB interne

Société : Globex Digital Services — Secteur : SaaS B2B / Plateformes digitales — Pays : Netherlands

Projet : Optimisation / Tuning — Optimiser l’ensemble des bases PostgreSQL (OLTP + analytique) utilisées pour traiter des flux financiers haute fréquence, en réduisant la latence, en restructurant les index et en modernisant l’architecture (PostgreSQL 12 → 15).

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
Autovacuum AWS DBA Grafana Indexing Logical Replication Partitionnement Performance Tuning pgbouncer PITR PostgreSQL Prometheus

Publication : Visible sur le site public IDEO-Lab

- Garantir la confidentialité des données tout en gardant les propriétés d’un ledger immuable
- Réconcilier exigences réglementaires (audit complet) avec anonymisation partielle
- Multi-acteurs avec niveaux de confiance différents
- Intégration propre dans les SI existants sans les fragiliser
- Performance et latence raisonnables malgré chiffrement et signatures multiples
- Gestion sûre et industrialisée des clés (HSM, rotation, révocation)
- Gouvernance du réseau (qui opère quels nœuds, quelles responsabilités ?).

- Choix d’un réseau blockchain permissionné avec consensus BFT (Practical BFT amélioré) adapté à un nombre limité de validateurs
- Séparation des données : métadonnées minimales en clair, payloads chiffrés par clé de session asymétrique
- Chiffrement hybride (RSA/ECC + AES-GCM) et rotation automatique des clés de session
- Utilisation de HSM pour les clés maîtres et pour les autorités de certification
- Mise en place de canaux logiques séparés (channels) pour certains échanges ultra-confidentiels
- Design de smart contracts avec abstractions métier : opérations paramétrables, rôles, seuils de signature
- Intégration IAM : authentification forte (MFA, certificats) + RBAC fin sur les API
- Journalisation signée et horodatée (chain of custody complète)
- Mécanismes de 'viewing keys' pour permettre un audit ciblé sans divulguer l’intégralité des données
- Tests de charge et d’attaque (forks, double-spend, re-jeu, flooding de transactions).

- Ledger opérationnel en production sur un premier périmètre de banques pilotes
- Temps moyen de validation d’une transaction : 1,3 s
- Aucune fuite de données ou incident de confidentialité durant la phase pilote
- Audits externes positifs (cryptographie, protocoles, IAM, gestion des clés)
- Capacité d’extension à de nouveaux membres via un processus de gouvernance documenté
- Conformité renforcée vis-à-vis du régulateur (traces cryptographiquement vérifiables)
- Temps de traitement des rapprochements / audits réduit de ~40 % pour certains cas d’usage.

Société : Aegis Cyber Defense Group (anonymisé) — Secteur : Cyberdéfense, infrastructures critiques, gouvernements — Pays : Belgium

Projet : ARCHITECTURE — Concevoir un registre blockchain permissionné, hautement sécurisé, permettant d’enregistrer des transactions financières sensibles avec confidentialité forte, traçabilité complète et conformité réglementaire (KYC/AML, GDPR).

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
Blockchain Confidentialité FinTech HSM Kubernetes Ledger mTLS PKI Sécurité Smart Contracts Terraform Zero Trust

Publication : Visible sur le site public IDEO-Lab

- Volume massif de documents (plus de 15 To bruts, multi-langues)\n- Qualité hétérogène des sources (scans papier, vieux PDF, images, docs partiellement corrompus)\n- Contexte industriel complexe (versions multiples du même équipement, variantes par site/pays)\n- Contraintes de confidentialité fortes sur certains périmètres (données sensibles, incidents sécurité)\n- Limitation des hallucinations LLM et obligation de citer les sources de manière explicite\n- Latence cible < 3 à 4 secondes par réponse sur un contexte potentiellement très large\n- Besoin d'intégration multi-canaux : web, mobile, outil de ticketing, chatbot interne.

- Architecture RAG modulaire : ingestion asynchrone + préparation offline des embeddings + retrieval temps réel\n- Pipeline ingestion en plusieurs étapes :\n • découverte des documents (connecteurs SharePoint, GED, S3, CMMS)\n • extraction & OCR (Tesseract, AWS Textract ou équivalent)\n • segmentation logique (structure de document)\n • enrichissement métadonnées (site, équipement, version, criticité)\n- Stratégie de chunking hybride (par section logique + seuil de tokens) avec chevauchement contrôlé\n- Base vectorielle Qdrant / OpenSearch avec index HNSW et filtres par métadonnées\n- Embeddings spécialisés domaine technique (modèles multilingues ajustés sur corpus industriel)\n- Context builder avancé : sélection multi-paliers (BM25 → vecteurs → re-ranking cross-encoder)\n- Intégration LLM : combinaisons de modèles externes (API) et de modèles on-prem pour les données sensibles\n- Cadre de réponse 'source-first' : chaque réponse inclut systématiquement les passages sources, liens et niveaux de confiance\n- Monitoring qualité : notation utilisateur, détection automatique de réponses douteuses, boucle de ré-entraînement sur les échecs récurrents.

- Plateforme RAG déployée sur 3 grands sites industriels pilotes (énergie, chimie, logistique)\n- Ingestion de plus de 6 millions de pages de documentation structurée et semi-structurée\n- Temps moyen de réponse : 2,4 s (P95 < 4 s) pour des questions complexes\n- Réduction estimée du temps de recherche d'information : -45 à -60 % pour les techniciens\n- Diminution significative des appels aux experts seniors sur les questions récurrentes (jusqu'à -35 %)\n- Taux de satisfaction utilisateur > 85 % sur les premières vagues de déploiement\n- Pas d'incident de fuite de données lié à la plateforme (contrôles sécurité validés par l'IT interne)\n- Base technique réutilisable pour d'autres cas d'usage (formation interne, onboarding, support client).

Société : NexTrust Financial Ledger — Secteur : FinTech, Blockchain & Confidential Computing — Pays : Luxembourg

Projet : Architecture IA / RAG / LLM — Concevoir une plateforme RAG industrielle basée sur LLM, capable d'ingérer plusieurs millions de pages de documentation technique multi-langues, d'indexer les contenus dans une base vectorielle et de fournir une assistance IA fiable aux équipes de maintenance, d'exploitation et d'ingénierie.

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
Data Lake Django Elasticsearch Embeddings FastAPI Industrial AI Ingestion massive LLM OpenSearch Qdrant RAG Vector DB

Publication : Visible sur le site public IDEO-Lab

- Centraliser des données hétérogènes provenant de plusieurs anciens systèmes\n- Concevoir un modèle de permissions flexible (internes, freelances, partenaires, clients)\n- Garantir de bonnes performances malgré des filtres complexes (temps par projet, par ressource, par client)\n- Assurer une migration de données sans interruption pour les utilisateurs\n- Offrir un front moderne sans partir sur un SPA lourd (contrainte de maintenance).

- Modélisation SQL soigneuse sous PostgreSQL (FK fortes, contraintes, index GIN/GIST sur les recherches)\n- Implémentation d’un système de rôles & permissions basé sur des groupes + permissions objet (django-guardian-like)\n- Utilisation de Django ORM avec requêtes annotées pour les agrégations complexes (heures, montants, soldes)\n- Caching sélectif (Redis) pour les tableaux de bord les plus coûteux\n- Migration progressive via scripts de management Django (import des anciens systèmes avec logs)\n- Front basé sur templates Django + HTMX pour les interactions dynamiques (modales, listes filtrées, in-line editing)\n- DRF pour exposer l’API vers les outils comptables tiers et SSO interne.

- Remplacement de 3 applications legacy par une plateforme unique\n- Réduction des erreurs de facturation et d’imputation de temps (~-30 % en 6 mois)\n- Diminution drastique des doublons de données et des divergences entre systèmes\n- Temps moyen de génération des rapports mensuels : de plusieurs heures à quelques minutes\n- Amélioration de la visibilité pour le management : tableaux de bord temps réel par client, équipe, projet\n- Adoption rapide par les utilisateurs internes et les clients (feedback très positif sur le portail).

Société : NeoInsight Industrial Analytics — Secteur : Industrie 4.0, Analytics & IA — Pays : France

Projet : Création from scratch — Construire une plateforme fullstack Django parfaitement intégrée (front + backoffice + API), adossée à PostgreSQL, pour centraliser la gestion des équipes, des projets et de la facturation dans un seul portail métier unifié.

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
AWS Celery Django Django REST Framework Fullstack HTMX Nginx PostgreSQL Redis Terraform

Publication : Visible sur le site public IDEO-Lab

- Sources de données très hétérogènes (Confluence, JIRA, PDF, Git)
- Documents en français et en anglais (multi-langue obligatoire)
- Certaines informations obsolètes ou contradictoires
- Besoin de garder une trace et une justification des réponses IA
- Latence à maîtriser pour usage quotidien par le support (objectif < 2 secondes)

- Pipeline d’ingestion unifié en Python (connecteurs Confluence, JIRA, Git, filesystem)
- Normalisation et nettoyage des contenus (HTML → Markdown → chunks)
- Vectorisation via embeddings multilingues (SentenceTransformers)
- Index FAISS embarqué côté backend (mise à jour nightly + incrémentale)
- Combinaison RAG : retrieval top-k + reranking + prompt structuré
- Mode "citation" : chaque réponse IA inclut les sources utilisées (lien vers doc/ticket)
- Mécanisme de feedback (👍 / 👎) stocké en base pour affiner le pipeline

- Réduction du temps moyen de résolution de ticket simple : -38%
- 60–70% des questions fréquentes traitées directement par l’assistant IA
- Onboarding des nouveaux membres du support divisé par 2
- Amélioration de la cohérence des réponses grâce aux citations systématiques
- Adoption rapide : 80% des membres du support utilisent l’assistant quotidiennement

Société : DeepMind Analytics Group — Secteur : Intelligence Artificielle / Recherche — Pays : USA

Projet : Architecture IA / RAG / LLM — Mettre en place un assistant IA interne, basé sur un moteur RAG, pour répondre aux questions des équipes support à partir de la documentation produit, des tickets JIRA et des bases de connaissances techniques.

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
AWS EC2 / RDS Django FAISS GitLab CI/CD IA Générative PostgreSQL Python RAG SentenceTransformers Slack / Teams

Publication : Visible sur le site public IDEO-Lab

- Contraintes fortes sur la taille de l’image et la consommation CPU/RAM\n- Besoin de maîtriser la chaîne de build de l’OS (yocto recipes, dépendances, sécurité)\n- Migration progressive depuis firmware monolithique C vers services modulaires C/C++\n- Intégration de Docker dans un contexte embarqué (gestion des ressources, démarrage, sécurité)\n- Harmonisation des pratiques entre Git (nouveaux projets) et SVN (anciens modules encore utilisés)\n- Mise en place d’une vraie stratégie de debug/simulation sans dépendre uniquement du hardware\n- Développement d’un outil C# ergonomique mais capable de gérer des scénarios avancés (logs, mises à jour, scripts de tests).

- Choix de Yocto comme base principale (flexibilité, meta-layers, intégration long terme) tout en gardant des configurations Buildroot/ELBE pour prototypage rapide et comparaison\n- Définition claire des services C/C++ (daemons POSIX) avec supervision systemd et journald pour les logs\n- Toolchain cross-compilation basée sur GCC + CMake, intégrée dans Yocto et packagée dans des conteneurs Docker de build\n- Scripts Bash/Shell pour enchaîner les phases (fetch sources, build, test, packaging, flash) et faciliter le travail des autres devs\n- Intégration de Docker en mode rootless pour les modules applicatifs non critiques, avec quotas de ressources configurés\n- Mise en place d’un workflow Git central (GitLab / GitHub) et de passerelles/migrations depuis SVN pour l’ancien code\n- Déploiement d’outils de debug : GDB à distance, logs structurés, capture bus série, simulation de capteurs via QEMU et scripts Python/Bash\n- Application C# développée avec MVVM, connexion TLS vers la passerelle, support des scripts de tests, export CSV/JSON pour analyse avancée.

- OS embarqué YOCTO stable, reproductible, maîtrisé en interne\n- Réduction du temps de build complet grâce à la conteneurisation (Docker) et à l’industrialisation des scripts\n- Migration progressive des anciens modules C vers une architecture de services C/C++ plus propre et testable\n- Amélioration significative de la capacité de debug (simulation QEMU, traces, GDB remote) et diminution du temps moyen d’analyse de bug\n- Mise à disposition d’un outil C# moderne de supervision pour les équipes tests et intégration, réduisant les erreurs de configuration\n- Processus de mise à jour OTA sécurisé (signature + rollback) validé sur plusieurs campagnes terrain\n- Plateforme considérée comme base pour la prochaine génération de produits AeroLink.

Société : OrionHub Digital Services — Secteur : SaaS B2B – Plateformes métiers & backoffice — Pays : France

Projet : Création from scratch — Concevoir une passerelle embarquée Linux pour avionique légère et IoT industriel, basée sur un OS custom Yocto, des services C/C++ temps réel, une couche de conteneurisation Docker pour les applications métier, et un outil de configuration/supervision développé en C#.

Confidentialité : Semi-public (détails partiels)

Code : Partiellement disponible

Tags techniques :
Bash Buildroot C C# C++ Docker ELBE Embedded GDB Git Linux embarqué QEMU SVN Yocto

Publication : Visible sur le site public IDEO-Lab