Modules commerce et workflows derrière une API Express
Medusa est une plateforme e-commerce headless écrite en TypeScript. Son serveur Node.js, bâti sur Express, expose des routes Store et Admin ; des workflows y portent la logique métier et appellent un module par domaine (produit, panier, commande, prix, paiement, stock), dont les données vont dans PostgreSQL. Boutique web, application mobile ou caisse passent par cette API, et l'installeur create-medusa-app peut générer un storefront Next.js de départ.
Modules npm utilisables hors d'un serveur Medusa
- Modules commerce découplés : préinstallés dans une application Medusa, ils s'installent aussi seuls par npm, selon la documentation, dans un projet Node.js ou serverless comme Next.js.
- Modèles de données extensibles : le framework ajoute des champs aux modèles existants, et des routes d'API, des modèles et des workflows propres au projet.
- Multi-région intégré : régions illimitées, une devise par région, des taux de taxe par pays appliqués au paiement selon l'adresse de livraison.
- Admin fournie : servi par le serveur, le tableau de bord marchand s'étend par un SDK, un plugin Vite et Medusa UI, une bibliothèque de composants React.
- Fournisseurs remplaçables : Stripe, S3, SendGrid et Redis sont des modules, et la documentation dit chaque service tiers remplaçable.
Portails de distributeurs, caisses et places de marché
- Boutique B2B, vente directe (DTC) ou portail de distributeur aux règles qu'une plateforme standard ne couvre pas
- Caisse en magasin, dans la technologie de son choix, qui partage canaux de vente et entrepôts avec la boutique en ligne par l'API REST
- Place de marché multi-vendeurs : la recette de la documentation consiste à écrire son propre module de vendeurs, relié aux produits et aux commandes
RBAC et SSO sous licence commerciale, Redis en production
Le dépôt est passé en open core en août 2026. Le fichier LICENSE, réécrit le 11 août 2026, garde le MIT pour le cœur et renvoie à ENTERPRISE-LICENSE.md : le contrôle d'accès par rôles (RBAC) et le SSO par OIDC exigent un contrat commercial avec MedusaJS, Inc., bien que leur code soit public. Activer leur feature flag vaut déclaration de détenir ce contrat, et la 2.22.0 ajoute des contrôles de clé de licence. La connexion par e-mail, GitHub ou Google reste sous MIT, comme les versions antérieures. La page des tarifs ne place RBAC et SSO que dans l'offre Enterprise, sur devis.
La production demande Redis et deux processus en plus de PostgreSQL. PostgreSQL est la seule base prise en charge. Le guide de déploiement lance la même application deux fois, en mode serveur (API et admin) et en mode worker (tâches planifiées, abonnés aux événements), garde les sessions dans Redis et réclame au moins 2 Go de RAM. Node.js 22.22.0 est le minimum depuis la 2.22.0.
Le projet pousse d'abord son offre cloud et les agents IA. Le README présente Medusa Cloud comme le chemin le plus rapide, et le guide de déploiement invite à l'envisager avant tout auto-hébergement. Le site se dit « plateforme de commerce agentique open source », et la documentation s'ouvre sur un prompt qui fait installer Medusa par un agent IA puis le déployer sur Cloud, dont les offres commencent à 29 dollars par mois.
Chaque version mineure depuis août contient un changement cassant. La 2.22.1 est sortie le 23 octobre 2026, et le dernier commit date du 27 octobre. Les notes de la 2.19 à la 2.22 en signalent chacune au moins un, dont le passage de l'admin à Vite 7 et l'abandon de Node.js 20. Celles de la 2.21 précisent que l'équipe ne publie d'ordinaire pas de correctif pour les anciennes versions.