NixFleet

Infrastructure souveraine pour l'Europe
Avril 2026 (mis à jour le 16 avril) · Document confidentiel

01 Le problème

L'infrastructure informatique européenne fait face à trois crises simultanées :

Dérive de configuration

Les outils actuels (Ansible, Puppet) décrivent des actions à effectuer, pas des états à atteindre. Le résultat dépend de ce qui existait avant. La dérive est structurellement inévitable.

Dépendance fournisseur

Jamf, Intune, AWX font de votre infrastructure une dépendance de leur cloud. Votre capacité à déployer dépend de leur disponibilité. Cloud Act, opacité, formats propriétaires.

Pression réglementaire NIS2

15 000 entités françaises concernées. Échéance fin 2027. Amendes jusqu'à 10 M€ ou 2% du CA mondial. Responsabilité personnelle des dirigeants.

Le fossé d'audit : les outils standard gèrent l'état souhaité mais ne peuvent pas prouver l'état réel. Vérifier qu'un système correspond à sa politique nécessite un outil d'audit séparé, un agent séparé, et une confiance dans l'environnement d'exécution. NixFleet comble ce fossé de manière structurelle.

02 La solution

NixFleet transforme les garanties mathématiques de NixOS — reproductibilité, atomicité, traçabilité — en une plateforme de gestion de flotte d'entreprise, conforme NIS2 par construction et 100% auto-hébergeable.

<90sRollback flotte
12Contrôles NIS2 actifs
3-5xRéduction coûts
100%Auto-hébergé
TRL 5Prototype validé

Framework Nix

API unique mkHost pour déclarer une flotte entière dans un seul flake.nix. 11 scopes s'activent automatiquement. Pas de DSL propriétaire — du NixOS standard.

Control Plane Rust

Serveur central : état de la flotte, gestion des releases (manifestes immuables), orchestration des rollouts (canary, staged, all-at-once), journal d'audit complet. 17 endpoints REST. Authentification mTLS + API keys.

Agent Rust

Binaire autonome sur chaque machine. Modèle pull (polling). Machine à 7 états avec health checks et rollback automatique en cas d'échec. Fonctionne même si le CP est temporairement indisponible.

Compliance NIS2

12 modules de contrôle NIS2 actifs (+ 4 réservés DORA/ISO) avec pattern enforce + prove. Preset NIS2 (essential/important). Collecteur de preuves automatique. Fonctionne avec ou sans NixFleet.

Ce qu'on a construit

NixFleet n'est pas un projet de recherche ni une vision. C'est un produit fonctionnel, testé, avec une sécurité production-ready.

ComposantStatutDétail
Framework Nix (mkHost)FonctionnelAPI simplifiée, 11 scopes auto-activés, templates flake
Control plane RustFonctionnelAxum, SQLite, HTTPS, mTLS, 17 endpoints, releases immuables, audit trail
Agent RustFonctionnelMachine à 7 états, polling, health checks, rollback auto
CLI RustFonctionnelinit, bootstrap, deploy, rollback, status, release, rollout, machines, --json, -v
SécuritéProduction-readymTLS agent-CP, API keys SHA-256 (RBAC), HTTPS obligatoire
Compliance NIS212 contrôles actifs+ 4 réservés DORA/ISO, evidence collector automatique
TestsComplet12 scénarios VM fleet, tests infra, eval Nix, intégration, unit Rust
DocumentationComplètemdbook, getting started, architecture, référence API

03 Architecture

Déclaration
flake.nix · mkHost par machine · flake.lock (SHA-256)
Cache binaire
Attic · auto-hébergé · S3-compatible
CLI Rust
Opérateur
Control Plane
Axum · SQLite · Releases · Rollouts · Audit
Agent Rust ×N
Polling · Health check · Auto-rollback
NixOS
web-01
NixOS
db-01
NixOS
edge-01
NixOS
...
Sécurité : mTLS entre chaque agent et le control plane (certificat client par machine). API keys SHA-256 scopées (readonly/deploy/admin) pour les opérateurs. HTTPS obligatoire en production. Le Nix store est adressé par hash — un binaire modifié est physiquement impossible à substituer.

04 Conformité NIS2

La directive NIS2 (article 21) définit 10 catégories de mesures. NixFleet couvre les 10 avec 12 modules de contrôle actifs, chacun suivant le pattern enforce + prove : appliquer le contrôle au niveau infrastructure, puis émettre une preuve machine-readable.

Obligation NIS2Approche classiqueNixFleet
Traçabilité des modificationsSIEM + outils séparés (+30k €/an)Chaque changement = commit Git signé
Reprise après incident <24hRunbooks manuels, résultat incertainRollback atomique < 90 secondes
Sécurité chaîne d'approvisionnementOutils SBOM séparés, intégration manuelleSBOM auto depuis flake.lock
Chiffrement (Art. 21h)Config manuelle par système, incohérencesLUKS + mTLS + politique TLS, flotte entière
Contrôle d'accès (Art. 21i)IAM séparé, CMDB manuelleSSH hardening + audit d'accès intégrés
Inventaire des actifsCMDB coûteuse, souvent inexacteInventaire complet dans nixosConfigurations
La conformité est un sous-produit de l'architecture, pas un effort additionnel. La configuration Nix EST la politique de sécurité. Un auditeur lisant l'expression Nix sait exactement ce qui est appliqué — aucun écart entre documentation et réalité.

05 Avantage concurrentiel

CapacitéAnsible / PuppetJamf / IntuneColmenaNixFleet
Reproductibilité bit-for-bitNonNonOuiOui
Souveraineté (auto-hébergé)PartielNonOuiOui
Support commercial / SLAOuiOuiNonOui
Rollback atomique flotteNonNonNonOui
Conformité NIS2 intégréeNonNonNonOui
Stratégies de rolloutManuelLimitéNonOui
Collecte de preuvesNonPartielNonOui

06 Marché

Cible primaire

PME et ETI européennes (50-500 employés) soumises à NIS2, sans équipe compliance dédiée. Ces organisations subissent la pression réglementaire mais n'ont ni le budget ni les équipes pour empiler les outils traditionnels.

Verticaux prioritaires

  • Secteur public — mandat souveraineté, ANSSI
  • Finance — NIS2 + DORA, résilience opérationnelle
  • Énergie / Télécoms — infrastructure critique, OIV
  • Recherche / HPC — reproductibilité, grandes flottes
  • Startups tech — croissance rapide, équipe réduite

Géographies

PaysOpportunité
France15 000 entités NIS2, plus grand marché EU
AllemagneMandat souveraineté BSI
Pays-BasForte communauté NixOS
BelgiqueSiège institutions EU
SuisseFinance, pharma, neutralité
NordiquesMaturité numérique élevée

Comparaison coûts (200 machines/an)

SolutionCoût
Ansible + AWX + compliance80-150k €
Jamf / Intune40-100k €
NixFleet Pro6-36k €

07 Modèle commercial

Modèle open-core : le moteur est open source (MIT/AGPL), la valeur commerciale est dans l'orchestration enterprise et l'expertise compliance. Le client ne dépend jamais de NixFleet — s'il quitte, sa configuration Nix fonctionne sans nous.

TierPrixCible
CommunityGratuit< 10 machines
Pro499-2 999 €/mois10-200 machines, PME
Enterprise50-500k €/an200+ machines
SovereignSur mesureGouvernement, défense

Services

ServiceDescription
Audit NIS2Gap analysis + plan de remédiation
PiloteAudit + déploiement 5-10 machines
MigrationTransition depuis Ansible/Puppet
FormationNix/NixOS pour équipes infra

08 État du projet

Terminé Phase 0-4 Simplification Nix, hardening Rust (mTLS, audit), orchestration flotte, modules infra, compliance, hardening pre-public
En cours Phase 5 Lancement open source : documentation, templates, 12 VM tests, 11 ADRs — reste : placeholders + repos publics
Prochain Phase 6 Outreach et pilotes : ANSSI, partenaires consulting, Horizon Europe, 3 pilotes
Bloqué Phase 7 Enterprise : multi-tenant, RBAC, dashboard — en attente des retours pilotes
~19kLignes de code (Rust + Nix)
12Scénarios VM fleet
17Endpoints API

09 Pourquoi NixFleet vs NixOS seul ?

NixOS fournit les garanties fondamentales. NixFleet ajoute tout ce qu'il faut pour passer d'un serveur bien configuré à une flotte gérée en entreprise :

CapacitéNixOS seul (DIY)Avec NixFleet
Déploiement flotteSSH manuel ou Colmena (push)Agent autonome (pull), fonctionne à travers les firewalls
Rollout progressifAucun — tout ou rienCanary, staged %, health-gated
RollbackManuel, machine par machineAutomatique sur échec health check, flotte entière <90s
Visibilité flotteAucune vue centraliséeÉtat de chaque machine en temps réel via le control plane
SécuritéÀ configurer soi-mêmemTLS + API keys + HTTPS intégrés, zéro config
Conformité NIS2Effort manuel considérable12 contrôles NIS2 activables en 1 ligne, preuves automatiques
Audit trailInexistantJournal complet avec identité acteur, export CSV/JSON
SupportCommunauté (best-effort)SLA, support dédié, expertise compliance
En résumé : NixOS garantit que chaque machine est correcte. NixFleet garantit que la flotte entière est correcte, visible, auditable et conforme — avec un support commercial et une expertise réglementaire.

10 Ce qu'on cherche

Early adopters

Opérateurs NIS2 (5-10 machines) pour un pilote gratuit de 3 mois. Vous recevez l'audit + le déploiement, nous recevons un cas d'usage réel.

Partenaires consulting

Cabinets avec expertise NIS2/DORA (Capgemini, Wavestone, Deloitte). Modèle co-pilote : votre expertise réglementaire + notre plateforme.

Partenaires recherche

Consortium Horizon Europe CL3 (deadline sept. 2026). Vérification formelle, audit sécurité, recherche compliance.

Programme pilote gratuit — déployez votre première flotte NixFleet en 15 minutes

github.com/arcanesys · contact@arcanesys.fr