Humanix Académie · Community Edition

La plateforme française open source de cybersensibilisation pour PME.
Code libre AGPLv3 · Hébergement souverain · Brique humaine de l'écosystème
open source cyber souverain français.

Pourquoi Humanix existe

90 % des cyberattaques contre une PME française passent par un humain. Et 90 %
des outils pour former cet humain viennent des États-Unis, sont fermés, et
coûtent 8 000 € par an et plus.

L'écosystème open source cyber français s'est structuré autour d'acteurs
reconnus - CISO Assistant (intuitem) pour la gouvernance, OpenCTI
(Filigran) pour la threat intelligence, Wazuh pour la détection. Mais la
couche humaine, la sensibilisation des collaborateurs, restait un trou béant.

Humanix Académie est cette brique manquante. Code libre AGPLv3, hébergement
souverain, intégrée nativement à CISO Assistant.

En 30 secondes

• Plateforme web Next.js 16 / React 19 multi-tenant, gamifiée, mobile-first
• 58 saisons · 344 modules MDX experts (phishing, vishing, smishing, quishing, mots de passe, MFA, données sensibles, télétravail, fraude-président, ransomware, IA générative, deepfakes, Cyber-RH, Cyber-Compta, Cyber-Dev, supply chain, NIS2, Sapin II, vie privée bureau, sauvegardes, réseaux Wi-Fi, mobile, visios, stockage cloud, crise cyber, DPO, OSINT & exposition numérique, identités machines & agents IA, packs métiers (commercial, communication, support, achats, juridique) et sectoriels (santé, collectivités, éducation, libéral, industrie/OT)…)
• Gamification réelle : XP, badges, mascotte évolutive Hex, classements internes, saisons en accordéon repliable
• Console dirigeant dashboard temps-réel : score de risque humain, KPIs business, top performers, urgent actions, rapport conformité PDF, export OSCAL
• Forecast & analytics avancé : régression linéaire J+30 sur le score tenant, top movers individuels, corrélation incidents ↔ sensibilisation
• Espace DPO : dashboard RGPD interne, file d'effacement art. 17, générateur AIPD, rétention configurable par tenant (art. 5.1.e), counters 90j
• Outil public « Suis-je exposé ? » (/exposition) : auto-diagnostic d'exposition (mot de passe via k-anonymity Pwned Passwords, email, téléphone) + parcours OSINT guidé en 4 phases + plan de remédiation - zéro stockage, aucune PII conservée
• Hub conformité multi-référentiels (/admin/conformite) : couverture calculée par tenant sur 7 cadres (ISO 27001:2022, NIS2, RGPD, ANSSI Guide Hygiène, NIST CSF v2.0, Sapin II Art. 17, SOC 2), preuves exportables vers CISO Assistant
• Quick Setup Wizard : 4 écrans pour configurer un tenant fresh en <5 min
• AdminSearchBox (Ctrl+K) : recherche transverse pages + utilisateurs + saisons
• Cookie consent CNIL-friendly + Plausible Analytics (config self-host ou cloud)
• MCP Server premier mover SAT/HRM (Claude Desktop / Mistral / GPT)
• Phishing simulé + Vishing + Smishing + Quishing souverains, IA Mistral, anti-PII automatique
• Add-in Outlook + add-on Gmail « Signaler un phishing » en 1 clic (même endpoint, RGPD-minimisant) + protection des récidivistes : réassignation ciblée du module anti-phishing par le RSSI
• Marque blanche & portail revendeur (Enterprise) : déploiement sous votre marque (logo, couleurs, sous-domaine, emails, certificats) avec cascade, + gestion d'espaces clients multi-tenant pour ESN/MSSP/cabinets
• Narration audio des modules : cache MP3 pré-rendu Voxtral (npm run tts:build), streaming progressif natif <audio>, démarrage <100 ms en cache hit
• Connecteur natif CISO Assistant : preuves de conformité exportées automatiquement
• Format OSCAL v1.1.2 (NIST) + CEF (Sentinel, Splunk, Sekoia, QRadar)
• API REST + webhooks signés HMAC-SHA256
• Stack souveraine UE : hébergement Scaleway Paris 🇫🇷, email Scaleway TEM 🇫🇷, IA Mistral Paris 🇫🇷, paiement Mollie Amsterdam 🇪🇺 (régulé DNB, PSD2 UE) - aucune dépendance Cloud Act US
• Sécurité défense en profondeur : CSP strict, middleware edge sur /admin, DOMPurify, HSTS preload, anti-SSRF whitelist, anti-PII sur prompts, scrypt + AES-256-GCM
• Conformité multi-cadre : RGPD · NIS2 · Loi Sapin II Art. 17 · ISO 27001:2022 · ANSSI HG · NIST CSF v2.0 · SOC 2, mapping technique versionné dans lib/mapping-grc.ts, couverture par tenant visualisée dans le hub /admin/conformite
• Mode démo + Mode dev (bypass Mollie/email) pour tester sans setup externe

Démo en ligne

Teste les 3 vues principales sans installation, sans inscription :
demo.humanix-academie.fr

La base de démonstration est réinitialisée régulièrement - tu peux tout
cliquer, tout modifier, tout casser sans crainte. Comptes pré-remplis pour
les rôles Apprenant, Manager et Admin, plus 5 utilisateurs profilés en
vulnérables / inactifs / top performers pour exercer les vues at-risk et
forecast.

🛡️ Certificat & reconnaissance

Le Certificat Humanix est conçu comme un actif économique pour les
PME et ETI, pas comme un PDF décoratif. Trois leviers d'adoption :

• Bouclier assurance cyber - signature Ed25519 vérifiable en 1
  seconde + API B2B avec webhooks signés HMAC-SHA256 pour les courtiers
  et souscripteurs. Cible : réduction de prime cyber de 15 à 40 % selon
  le pourcentage de l'effectif certifié.
• Preuve de conformité NIS2 - obligation légale dirigeants depuis
  octobre 2024 (sanctions jusqu'à 10 M€ ou 2 % CA mondial). Export
  OSCAL v1.1.2 directement intégrable dans CISO Assistant, audit trail
  intégral opposable.
• Démarche d'agrément ANSSI - Humanix Académie postule à devenir
  le « Pix de la cybersécurité » côté sensibilisation, avec un dossier
  formel d'agrément lancé en 2026. Reconnaissance officielle visée 2027.

Chaque apprenant peut, optionnellement, renseigner ses prénom et nom réels
dans /profil/infos pour que le PDF soit émis à son état civil plutôt qu'à son
pseudo - sinon le pseudo reste utilisé (comportement par défaut, aucune donnée
d'identité requise).

Détail complet sur /certificat.

Quickstart dev local (3 minutes) ⚡

git clone https://github.com/Humanix-Cybersecurity/Humanix-Academie.git
cd humanix-academie
./scripts/start.sh

Le script détecte l'OS, installe Docker / mkcert si absents, génère un cert
TLS local trust-safe, prépare /etc/hosts, lance la stack en DEMO_MODE=true.
Ouvre https://humanix.local quand c'est terminé.

Détails : docs/installation.md.

Quickstart self-host (10 minutes)

Prérequis

• Docker 24+ et Docker Compose v2
• 2 Go RAM minimum
• 5 Go d'espace disque
• Un nom de domaine (ou localhost pour tester)

Option A - Image OCI officielle (recommandée)

L'image OSS est publiée automatiquement à chaque release sur GitHub
Container Registry (registre primaire, gratuit, illimité) et
Docker Hub (mirror compte perso, pour visibilité grand public).
Multi-arch (linux/amd64 + linux/arm64), AGPLv3, avec provenance
SLSA et SBOM SPDX inclus dans le manifest.

# GHCR (primaire, recommandé)
docker pull ghcr.io/humanix-cybersecurity/humanix-academie:latest

# Docker Hub (mirror, optionnel)
docker pull humanixcybersecurity/humanix-academie:latest

# ou un tag spécifique : :1.2.3, :edge (HEAD de main)

Tags disponibles :

Pourquoi GHCR en primaire ? Pas de quota pull (Docker Hub en
impose 100/6h aux utilisateurs anonymes depuis 2020), gratuit
illimité, intégré GitHub, et alignement souverain UE (Microsoft
Azure hébergement Europe). Docker Hub reste publié en mirror pour
les habitudes des développeurs.

Option B - Build local depuis les sources

git clone https://github.com/Humanix-Cybersecurity/Humanix-Academie.git
cd humanix-academie

cp .env.example .env
# Édite .env : DATABASE_URL, AUTH_SECRET, AUTH_URL, etc.
# AUTH_SECRET solide :  openssl rand -base64 32

docker compose up -d

L'entrypoint synchronise le schéma Prisma, applique la migration legacy plans
(idempotente), seed les données si DEMO_MODE=true, bootstrap le 1er admin
selon BOOTSTRAP_ADMIN_*, puis démarre Next.js.

Premier compte admin :

• Si BOOTSTRAP_ADMIN_EMAIL est configuré → le compte est créé au boot
• Sinon : docker compose exec app npx tsx scripts/bootstrap-admin.ts

Par défaut, le tout-premier compte est créé en SUPERADMIN (accès cross-tenant,
modération plateforme). Surcharge via BOOTSTRAP_ADMIN_ROLE (valeurs :
SUPERADMIN | ADMIN | RSSI | MANAGER).

Promouvoir un compte existant en SUPERADMIN - si un déploiement antérieur
avait provisionné votre compte avec un rôle inférieur (ex. ancienne version qui
forçait ADMIN), réexécutez le bootstrap avec BOOTSTRAP_ADMIN_EMAIL pointant
sur votre email :

docker compose exec app npx tsx scripts/bootstrap-admin.ts

Le script détecte que le compte existe déjà et le promeut au rôle demandé. Pas
de modification DB manuelle nécessaire. L'opération est idempotente : un compte
qui a déjà le rôle cible (ou supérieur) reste intact.

Tâches planifiées (cron)

Pour activer le forecast, les badges, l'observatoire breaches, etc. :

echo "CRON_SECRET=$(openssl rand -hex 32)" >> .env
docker compose -f docker-compose.yml -f docker-compose.cron.yml up -d ofelia

10 tâches HTTP planifiées via Ofelia. Path de migration vers Kubernetes
documenté dans docs/CRON.md.

Documentation détaillée

• docs/installation.md - installation pas-à-pas (Docker, bare-metal, Kubernetes)
• docs/configuration.md - toutes les variables d'environnement
• docs/PACK_NIS2_V2.md - diagnostic 30Q + score per-article + rapport annuel autorité
• docs/DEPLOYMENT_RUNBOOK.md - runbook déploiement production
• docs/upgrade.md - procédure de mise à jour entre versions
• docs/CRON.md - tâches planifiées (Ofelia / k8s CronJob)
• docs/TTS_VOXTRAL.md - narration audio (Voxtral SaaS ou Piper self-hosted)
• docs/COMPLIANCE_SAPIN2.md - couverture loi Sapin II Art. 17
• docs/faq.md - questions fréquentes self-host

Stack technique

Modes de fonctionnement

3 modes orthogonaux configurables via .env :

Garde-fou : DEV_MODE est ignoré quand AUTH_URL ne pointe pas sur localhost.

Hex Chat - assistant cyber conversationnel

🦊 Hex est un assistant cyber multi-tour, accessible via un FAB flottant
sur toute l'app pour les utilisateurs connectés. Il sait :

• répondre aux questions cyber (phishing, RGPD, NIS2, MFA, mots de passe)
• guider l'utilisation d'Humanix (où trouver un module, exporter un
  certificat, configurer la rétention RGPD)
• refuser poliment les sujets hors-cyber

Providers supportés (sélection via HEX_AI_PROVIDER) :

Rate limit (par utilisateur) : 12 msg/h en Starter, 60 msg/h en Pro,
200 msg/h en Enterprise. Protège le free tier Mistral sans frustrer les
plans payants.

Self-host avec Ollama (gratuit infini, recommandé Community
Edition) :

# Sidecar Ollama dans docker-compose, modèle Mistral 7B Instruct
docker run -d --name ollama -p 11434:11434 ollama/ollama
docker exec ollama ollama pull mistral:7b-instruct

# Côté app :
HEX_AI_PROVIDER=ollama
OLLAMA_BASE_URL=http://localhost:11434
HEX_AI_MODEL=mistral:7b-instruct

RAG sur les 339 modules MDX (Phase 3) : Hex cite les modules
Humanix pertinents au lieu d'inventer. Repose sur PostgreSQL +
extension pgvector + Mistral mistral-embed.

# Pré-requis : extension pgvector disponible sur la DB
# (par défaut sur Scaleway PostgreSQL managé, à activer sinon)

# Indexation initiale (~1000 chunks, ~$0.10 en cloud, ou gratuit via
# free tier "Experiment" pour ce volume one-shot) :
docker compose exec app npm run hex:reindex

# Dry-run (liste les fichiers sans appel API) :
docker compose exec app npm run hex:reindex:dry

Le RAG est optionnel : si pgvector n'est pas dispo, Hex marche
quand même sans citations. Réindex à relancer après chaque ajout de
module MDX (idempotent).

Adaptation du ton automatique (Phase 2) : Hex repère ta progression
(score quiz moyen 30 jours) et adapte son registre - encouragement
si score < 50 %, challenge si ≥ 80 %.

Roadmap des phases suivantes (coach personnalisé, roleplay scénarios,
voice, agentique) dans le document
00_Business_Strategie/01_Roadmap_Produit/ROADMAP_HEX_IA.md.

Narration audio (TTS) - guide express

3 backends au choix selon le contexte :

# Pré-rendre tout le catalogue audio (idempotent, ~10 min, ~$2.50 au 1er run)
docker compose exec app npm run tts:build         # episodes + library articles + teasers
docker compose exec app npm run tts:build:dry     # liste sans appel API
docker compose exec app npm run tts:build:force   # régénération totale (rare)
docker compose exec app npm run tts:prune:apply   # supprime les MP3 orphelins

Côté client : POST /api/tts/prepare retourne { url: "/api/tts/<hash>" }
content-addressed. Le navigateur stream via <audio src=...> avec Range
requests + Cache-Control: immutable max-age=1an → démarrage <100 ms en
cache hit, sans charger le fichier en RAM.

Où l'audio apparaît :

• 🔊 Modules (/apprendre/<saison>/<episode>) : « Écouter le scénario / le débrief »
• 🔊 Articles librairie (/librairie/<slug>) : « Écouter l'article »
• 🔊 Cartes Cyber Famille (/famille) : mini-bouton « 🔊 Aperçu »
• 🔊 Vishing admin (/admin/vishing) : sélecteur 4 voix expressives

Runbook : docs/TTS_VOXTRAL.md.

Open core - ce qui est dans ce repo, ce qui est ailleurs

Humanix Académie suit un modèle open core. La plateforme et un sous-ensemble
de modules pédagogiques sont open source AGPLv3. Les modules avancés, le
phishing simulé, le Pack NIS2 turnkey et le SSO entreprise sont proposés en
cloud managé ou via une licence commerciale.

Tarifs cloud : voir humanix-cybersecurity.fr/tarifs.

📖 Document de référence détaillé : docs/OPEN_CORE.md liste exhaustivement ce qui est ouvert vs plan-gated en cloud.

📝 Contribuer un module pédagogique ? content/community/README.md - frontmatter, workflow de review, licence CC BY-SA 4.0.

Catalogue complet en self-host

Au démarrage, l'app détecte automatiquement quelle source de contenu utiliser :

Le 3e cas (contenu commercial Humanix complet en self-host) nécessite une licence Ed25519 signée par Humanix. Procédure détaillée dans docs/OPEN_CORE.md. Premier contact : [email protected].

Tarifs cloud (4 paliers · vente directe sans essai gratuit)

La démo en ligne (/demo) couvre déjà le besoin "tester avant de payer" -
pas d'essai gratuit sur les paliers payants.

Écosystème - connecteurs techniques

Connecteurs techniques disponibles ou en cours
(aucun partenariat commercial signé à ce jour - les intégrations sont
techniquement prêtes côté Humanix, libre à chaque éditeur de les utiliser) :

Contribuer

Toute contribution est bienvenue : code, documentation, traductions, modules
pédagogiques, retours d'expérience, signalements de vulnérabilité.

• Avant de contribuer : CONTRIBUTING.md
• Code de conduite : CODE_OF_CONDUCT.md
• Vulnérabilités : SECURITY.md - disclosure responsable
• Discussions : GitHub Discussions
• Page communauté publique : humanix-cybersecurity.fr/communaute

Ton premier PR - par où commencer

1. Typo / clarification doc (10 min) - README.md, docs/*.md. PR directe, review légère.
2. Module MDX pédagogique (1-2 h) - il reste des saisons sans MDX expert dans prisma/catalog-saisons.ts. Modèle : content/saisons/phishing/01-mail-du-pdg.mdx.
3. Traduction (1-3 h) - fichiers messages/<locale>.json prêts pour i18n.
4. Connecteur (1-2 jours) - GRC ou SIEM additionnel (Drata, Vanta, ServiceNow). Modèle dans connectors/. Licence MIT.
5. Module fonctionnel (2-5 jours) - issues marquées good first issue ou roadmap.

Tests + qualité

npm run typecheck       # tsc --noEmit (rapide, hook pre-commit dispo)
npm run hooks:install   # active le pre-commit hook typecheck
npm run lint            # ESLint + typecheck + lint-routes
npm test                # Vitest run
npm run test:watch      # Mode watch
npm run test:coverage   # HTML coverage dans ./coverage/index.html

Test suite Vitest couvrant la logique critique : auth, plan-gating, billing,
marketplace integrity, scoring CODIR, SCIM mapper, OSCAL, SIEM formatters,
webhooks HMAC + SSRF guard, conformité GRC mapping, audit log, sanitization
HTML, setup wizard. Tournée en CI sur chaque push/PR.

Modèle économique - comment Humanix vit

La plateforme open source est gratuite à vie en self-host. Humanix
Cybersecurity finance le développement par les services à forte valeur ajoutée
qu'elle propose autour :

• Cloud managé (gratuit jusqu'à 5 sièges, puis 19 €/mois forfait jusqu'à 15)
• Audit cybersécurité et gap analysis NIS2 / Sapin II
• Formation professionnelle (intra et inter-entreprise, éligible Qualiopi)
• RSSI externalisé (forfait mensuel)
• Pack NIS2 turnkey + accompagnement à la conformité
• Intégrations sur-mesure (Drata, Vanta, ServiceNow, etc.)

C'est le modèle d'intuitem (CISO Assistant), Filigran (OpenCTI) et Centreon -
éprouvé en France, qui finance durablement l'open source.

Sponsoring : GitHub Sponsors et Open Collective ouverts après le launch
OSS du 26 mai 2026. Pour discuter d'un parrainage corporatif ou individuel,
[email protected].

Licence

Humanix Académie Community Edition est distribuée sous GNU Affero General
Public License v3.0 (AGPLv3). Voir LICENSE pour le texte
intégral et COPYRIGHT pour la notice de copyright.

Implications principales :

• Self-host gratuit, modification interne libre
• Si tu héberges Humanix en SaaS pour des tiers, tu dois redistribuer le
  code source (incluant tes modifications) sous AGPLv3
• Tu peux contribuer tes modifications à l'upstream pour profiter à tous

Si tu as besoin d'une licence commerciale (par exemple pour un produit
fermé qui embarque Humanix), contacte [email protected] -
Humanix Cybersecurity propose un dual-licensing au cas par cas.

Contact

Remerciements

Humanix Académie n'existerait pas sans :

• L'écosystème open source cyber français : intuitem, Filigran, Centreon, OVHcloud, Scaleway
• La communauté CESIN, OSSIR, CEFCYS pour le partage d'expérience
• Tous les dirigeants PME qui ont accepté d'être pilotes en phase de validation

Et toi, en lisant ce README jusqu'ici. Bienvenue.

Made in France by Humanix Cybersecurity