CREDITMARKET — Roadmap Enrichi — Cycle de vie complet

Version	Date	Auteur	Modification
v1.0	11/06/2026	Agent PO	Création initiale : plan-mise-en-route.md (4 jalons, blocages identifiés)
v1.1	11/06/2026	Agent PO	Sprint 2 planifié par agent (sprint-2.md)
v2.0	13/06/2026	✍ Claude (audit)	Enrichissement complet : intégration recommandations audit, couverture plein cycle de vie (PO → Dev → Designer → Test-auto → CI/CD → Market), ajout Phase 0 terminée, refonte visuelle timeline, décisions externes explicites
v2.1	16/06/2026	Agent PO	Jalons temporels datés : pilote T3 2026, lancement public T4 2026. Tâches sécurité (MFA TOTP, refresh révocable, throttle, CORS, séquence référence) et E2E onboarding (S1–S4) passées en terminé. Fix prod antivirus (CLAMAV_HOST). Analyse concurrentielle + pitch deck livrés.

Phase 0 — Cadrage & charpente

✅ TERMINÉ

Période : mai–11 juin 2026 · Agents : PO · Designer · Dev · Market

📋

✅

PRD v1.0 analysé et intégréBacklog 9 epics / 22 user stories aligné PRD. DoD définie. Conformité INPDP identifiée.

✅

Décisions §17 documentéesPoints ouverts listés (forme juridique, consentement, scoring, hébergement).

✅

Audit honnête rédigéMaturité réelle par axe, risques, distance à la prod.

🎨

Designer

✅

Maquettes 3 portailsPortail client, portail partenaire, back-office admin. Responsive, dark/light.

✅

Charte de marque complèteLogo, typographie, couleurs, composants, flyer, landing page.

✅

Wireframes écrans clésParcours dossier, comparateur offres, consentement.

⚙️

Dev

✅

Architecture monorepo NestJS / Next.js / Prisma11 domaines métier, schéma PostgreSQL complet, 18 endpoints API.

✅

Logique métier différenciante codéeScoring §6.2, anonymisation §6.1, matching, commission 250 TND idempotente.

✅

Tests unitaires écrits (7 suites)Scoring, anonymisation, matching, billing, offres, dossier, reporting.

✅

Infrastructure as codeTerraform AWS Paris, Dockerfiles, docker-compose, GitHub Actions CI.

📈

Market

✅

Étude de marché sourcéeTAM 2 387 MD, SAM 800–950 MD, SOM 50–120 MD. Espace blanc confirmé.

✅

Executive summary & dimensionnementModèle revenus, concurrence, GTM, risques.

Phase 1 — Démo qui tourne en local

🔧 EN COURS / PRIORITÉ P0

Objectif : 1 parcours complet fonctionnel · Cible : juin–juillet 2026 · build TS API + web déjà OK

📋

▶

Valider les critères d'acceptation de la démoDéfinir le parcours minimal démontrable : inscription → dossier → score → offre → consentement.

🔵

Affiner les critères d'acceptation des écrans partenaireAuditListe dossiers anonymes filtrables, fiche dossier, formulaire offre structuré.

⚙️

Dev

🔴

Pousser le code sur GitHubWissemPrérequis de tout le reste. Commandes dans RUN-LOCAL.md.

🟠

docker compose up + migration + seedHumainCorriger les erreurs de build. Le code n'a jamais compilé.

🟠

Lancer npm run -w @creditmarket/api test:covHumainCorriger les erreurs de tests unitaires réelles.

▶

Auth front-end (httpOnly cookie + refresh automatique)AgentRemplacer le stockage mémoire. Middleware de protection des routes.

▶

Parcours client complet branché sur APIAgentInscription, dossier (formulaire 12–15 critères), upload docs, comparateur offres, consentement.

✅

Séquence PostgreSQL pour les références CM-AAAA-NNNNNNLivré (migration 20260615120000_add_dossier_ref_seq) — plus de doublons sous charge concurrente.

🎨

Designer

▶

Affiner les écrans back-officeAgentFunnel, revenus, performance partenaires — basés sur les endpoints reporting existants.

🔵

Protocole de tests utilisateurs (5 sessions)AuditScénarios S1–S6 comme base. Préparer avant les partenaires pilotes.

🧪

Test-auto

🟠

Exécuter les 7 suites unitaires et corriger les échecs réelsHumainLes tests sont écrits mais jamais lancés. Gate couverture à atteindre.

🔵

Tests auth : token expiration, refus hors périmètre (S6)AuditVérifier que le RBAC bloque et journalise correctement un accès non autorisé.

Phase 2 — MVP pilote (vrais partenaires)

📅 PILOTE — T3 2026

Objectif : 3–4 partenaires pilotes signés · Cible : pilote T3 2026 (juil.–sept.)

📋

▶

Trancher les décisions ouvertes PRD §17Wissem + sponsorsForme juridique, modèle consentement, liste champs anonyme, contrats partenaires, grille scoring, docs obligatoires par catégorie.

🔵

Calibrer la grille de scoring avec données réellesAuditPondérations heuristiques actuelles — à valider avec métier. Sortir le 0,8 hardcodé pour "project".

🔵

Définir la limite de diffusion anti-spam partenaireAuditPRD §6.3 mentionne une diffusion limitée — à implémenter dans MatchingService.

⚙️

Dev

▶

UI portail partenaire completAgentListe dossiers anonymes filtrables, fiche dossier, formulaire offre, tableau de bord.

✅

MFA TOTP réel (otplib)Livré : secret TOTP par utilisateur, routes mfa/setup + mfa/verify, MFA_ISSUER configurable via env (16/06). Tests setupMfa verts.

✅

Refresh token révocable + rotationLivré : hash en base, rotation, endpoint /auth/logout.

✅

@nestjs/throttler sur /auth/loginLivré : dev 1 000 req/min (tests/Playwright), prod 5 req/min strict.

🟠

Brancher ClamAV réel (seam prêt)HumainCLAMAV_HOST ré-ajouté en prod le 16/06 (l'antivirus était silencieusement désactivé). Reste à pointer sur un service ClamAV réel.

🔴

Choisir et intégrer prestataires email/SMSWissemCâbler NotificationService sur tous les événements métier (offre reçue, statut changé, etc.).

✅

releaseContact() transactionnelLivré : consent + ContactRelease + audit dans une transaction Prisma atomique.

🔵

Implémenter les endpoints droits INPDPAudit · INPDPAccès aux données, effacement, portabilité. Requis avant production.

✅

IDENTIFYING_FIELDS unifiéLivré : liste unique, plus de risque de désynchronisation.

✅

CORS strict en productionLivré : domaine prod via WEB_ORIGIN ; regex localhost/127.0.0.1 tous ports en dev uniquement.

🎨

Designer

▶

Déclinaisons réseaux sociaux (Market)AgentLinkedIn, Twitter/X, visuels de lancement — pour le go-to-market partenaires.

🔵

Parcours d'onboarding partenaire (UX)AuditConfiguration d'appétence (secteurs, régions, montants, score min) — écran critique pour le matching.

🧪

Test-auto

▶

Compléter E2E S1–S6 (Playwright)AgentS1–S4 livrés le 16/06 (landing-cta, inscription, connexion, dépôt dossier) + helper register-form. Restent S5 (offres) et S6 (consentement).

🔵

Tests de charge (k6 ou Artillery)AuditCible : 1 000 dossiers/mois. Valider t3.medium sous charge concurrente.

🔵

Tests de sécurité OWASP API Top 10AuditInjection, RBAC, fuite de données identifiantes, brute-force. Avant pilote partenaire.

🚀

CI/CD

🔴

Créer compte AWS + secrets GitHubWissemPrérequis déploiement. Accès AWS, variables d'env CI, terraform.tfvars.

▶

Finaliser deploy.yml (ECR + EC2 + healthchecks)AgentChemin ECR non finalisé. Ajouter rollback automatique.

🔵

Ajouter VPC dédié + sous-réseaux privésAudit · INFRARDS et Redis actuellement sans isolation réseau. Critique avant prod.

🔵

Configurer CloudWatch + alertesAudit · INFRACPU, mémoire, erreurs 5xx, latence API. Monitoring absent actuellement.

🟠

Terraform apply + TLS (Nginx + Let's Encrypt)HumainInfrastructure jamais provisionnée. skip_final_snapshot à passer false.

📈

Market

✅

Analyse concurrentielle détailléeLivré (docs/market/competitive-analysis.md) : directs Tunisie, indirects MENA, benchmarks France, matrice 6 critères, marché 8 sociétés BCT.

✅

Pitch deck investisseur à jourLivré : slide traction (62 500 TND/mois), slide concurrence, roadmap T3→T4 2026.

🔴

Entretiens partenaires pilotes (3–4 sociétés)WissemSans partenaires, la marketplace n'a pas de valeur. Priorité commerciale n°1.

🔵

Plan d'acquisition client détaillé + budgetAuditSEO/SEA leasing Tunisie, partenariats concessionnaires, referral. KPIs : CAC, LTV, taux conversion.

⚖️

INPDP

🔴

Validation juridique formelle INPDPWissem + juristeChemin critique prod. Délai incompressible — à lancer immédiatement.

🔵

Rédiger et valider le modèle de consentement de transmissionAudit · INPDPTexte légal pour contact_release — version stockée mais contenu juridique non validé.

🔵

Formaliser le registre des traitements (DPO)Audit · INPDPObligatoire INPDP. Catégories de données, finalités, durées, transferts.

🔵

Valider localisation des données (AWS Paris vs Tunisie)Audit · INPDPL'INPDP peut exiger un hébergement local — à clarifier avant terraform apply.

Phase 3 — Production & scale

🚀 LANCEMENT PUBLIC — T4 2026

Cible : lancement public T4 2026 (oct.–déc.) · 10 partenaires · 1 000 dossiers/mois · 250 contrats financés/mois · < 48 h première offre

📋

🔵

Phase 2 produit : crédits bancairesAuditExtension marketplace au-delà du leasing pur (PRD Phase 2). Après stabilisation du MVP leasing.

🔵

Phase 3 produit : expansion régionale (Maroc, Algérie, Libye)AuditPRD Phase 3 — long terme, après traction Tunisie confirmée.

⚙️

Dev

🔵

Audit de sécurité externe (prestataire)AuditPentest applicatif avant go-live production. Fintech = cible à haute valeur.

🔵

Sauvegardes testées + PRA documentéAuditskip_final_snapshot=false, tests de restore, RTO/RPO définis.

🔵

Module support/tickets (US20)AuditFR-018 — Could. Gestion tickets clients et partenaires.

📈

Market

🔵

Afficher preuve sociale (dossiers, délais, offres)AuditKPIs publics dès que la traction le permet. Confiance = levier de conversion.

🔵

Contenu SEO long tail (guides leasing par vertical)AuditTransport, BTP, agricole, médical. Capter l'intention avant l'intention.

🚀

CI/CD

🔵

WAF (Web Application Firewall)AuditAWS WAF devant l'EC2. Protection DDoS, injection, rate-limiting niveau réseau.

🔵

Multi-AZ pour RDS (haute disponibilité)Auditdb.t3.micro sans failover actuellement — risque indisponibilité.

#	Décision	Impact si bloquée	Urgence
E1	Pousser le code sur GitHub (5 min)	CI jamais lancé. Dev humain ne peut pas compiler.	IMMÉDIAT
E2	Lancer la démarche INPDP (validation juridique formelle)	Bloquant production. Délai réglementaire incompressible.	IMMÉDIAT
E3	Contacter 3–4 partenaires leasing pilotes (TLF, ATL, BH Leasing…)	Sans partenaires, la marketplace n'a aucune valeur côté client.	PRIORITAIRE
E4	Créer compte AWS + secrets GitHub CI/CD	Déploiement impossible. Terraform jamais appliqué.	Phase 2
E5	Choisir prestataires email/SMS (Mailgun, SendGrid, Twilio…)	Notifications non fonctionnelles. UX dégradée.	Phase 2
E6	Valider hébergement données INPDP (AWS Paris ou Tunisie locale)	Peut impacter tout le Terraform si localisation tunisienne requise.	Phase 2
E7	Trancher décisions PRD §17 (contrats partenaires, grille scoring, docs obligatoires)	Calibration scoring et parcours incomplets sans ces décisions.	Phase 2

🗺 CREDITMARKET — Roadmap Enrichi · Cycle de vie complet

📋 Historique des mises à jour du document

Ces éléments ne peuvent pas être accélérés par du code — à traiter en parallèle immédiatement