Enterprise-Next.js-Entwicklung

"Enterprise" ist auf Verkaufsseiten meist ein Adjektiv. Hier meint es eine bestimmte Menge an Randbedingungen - und trifft keine davon auf Sie zu, ist Anwendungsentwicklung dieselbe Arbeit ohne den Überbau.

Das sind die Randbedingungen, die wir meinen.

Identität, die Ihre IT schon betreibt

SSO gegen das Verzeichnis, das Sie haben - Entra ID, Okta, Google Workspace oder einen SAML-Provider, den seit 2019 niemand aktualisiert hat. SCIM-Provisionierung, damit Ausscheidende den Zugang verlieren, wenn HR sagt, dass sie gegangen sind, und nicht, wenn jemand daran denkt.

Das Rollen-Mapping kommt aus den Gruppen des Verzeichnisses statt aus einer Tabelle in Ihrer Anwendung - denn sobald Ihre App die Rollen besitzt, besitzen zwei Systeme sie, und sie laufen auseinander. Sessions sind kurz und aktualisieren serverseitig; das Token erreicht den Browser nie.

Daten, die bleiben müssen, wo Sie es zugesagt haben

Die Verträge Ihrer Kunden sagen, wo deren Daten liegen, und die Standardregion einer Plattform ist darauf keine Antwort. Self-Hosting ist der übliche Schluss: output: 'standalone' in einem Container, in Ihrem Cluster, in Ihrer Region, neben Ihrer Datenbank.

Dieser Weg hat vier konkrete Kosten, und wir decken sie ab, statt sie zu entdecken - Bildoptimierung, ein gemeinsamer Cache für die Revalidierung über Replicas hinweg, Middleware, die nicht mehr an der Edge läuft, und ein Proxy, der Streaming-Antworten nicht puffern darf. Ausführlich steht das in Next.js selbst hosten - und was dabei aufhört zu funktionieren.

Nachweise, weil jemand danach fragen wird

Audit-Trails auf den Mutationen, die zählen, mit Handelndem, Vorher und Nachher. Eine Content Security Policy mit Nonce statt unsafe-inline. Abhängigkeitsherkunft im Build, damit eine Lieferketten-Frage eine Antwort hat. Barrierefreiheit getestet statt behauptet, denn im öffentlichen Sektor und im Großkundeneinkauf wird eine Erklärung verlangt, und irgendwann prüft das jemand.

Nichts davon ist exotisch. Alles davon ist eingebaut viel günstiger als nachgerüstet, nachdem ein Security Review eine Liste erzeugt hat.

Arbeiten in Ihrem Prozess

Wir arbeiten in Ihrem Repository, nach Ihrer Branch-Policy, mit Ihren Review-Gates. Nicht unser Repo, am Ende übergeben, und kein Parallelprozess, den Ihr Plattformteam lernen muss.

Wo Sie ein Design-System haben, bauen wir dagegen. Wo Sie ein Plattformteam haben, ist es ab der ersten Woche in den Pull Requests - denn das Maß dieser Arbeit ist, ob Ihre Entwicklerinnen sie behalten können, wenn wir weg sind. Derselbe Maßstab wie Code, den Sie behalten können, angewandt auf eine Organisation statt auf ein Team.

Was diese Projekte bremst

Ehrlich: nicht die Technik. Es ist das Warten auf eine Staging-Umgebung, auf Verzeichniszugang, auf einen Sicherheitsfragebogen, auf die eine Person, die eine Firewall-Regel freigeben kann.

Wir planen darum herum, statt so zu tun, als passiere es nicht. Phasen sind so geschnitten, dass eine blockierte Abhängigkeit eine Phase stoppt und nicht das Projekt, und wir sagen Ihnen in Woche eins, welche Freigaben Sie früh anstoßen sollten - sie sind meist der kritische Pfad.