Set-OPS-Public/roles/serveur_forgejo/templates/sonde-forge.sh.j2

#!/bin/bash
# GENERE par Set-OPS (role serveur_forgejo). Ne pas editer a la main.
#
# SONDE « forge » — la forge est-elle en etat de servir ?
#
# Contrat : docs/supervision-conception.md (API des greffons Nagios) — une ligne, 0/1/2.
# Mise en defaut PAR PARAMETRE : `serveur_forgejo_sonde_url` (port ferme).
#
# ON DEMANDE A FORGEJO CE QU'IL PENSE DE LUI-MEME. `/api/healthz` verifie sa BASE et son
# CACHE et rend `pass` ou non. C'est plus juste que tout ce qu'on inventerait de
# l'exterieur : une forge dont la base est tombee sert encore ses pages statiques et
# repond a `/api/v1/version` — elle a l'air vivante et ne peut plus rien faire.
#
# PREMIERE VERSION FAUSSE, ET INSTRUCTIVE (2026-09-10). Elle visait le port 443 et
# comptait les depots sous `/var/lib/forgejo/repositories`. Les deux etaient INVENTES :
# la forge du tenant ecoute en 3000 derriere l'edge, et elle n'a legitimement AUCUN depot
# — elle est neuve. La sonde criait donc deux fois sur un service sain. On lit la verite
# du role, on ne la suppose pas.
set -uo pipefail

URL={{ serveur_forgejo_sonde_url }}

# `-k`, ET C'EST DELIBERE (2026-09-10). Des que le schema suit `serveur_forgejo_tls`, la
# sonde parle en HTTPS a `127.0.0.1` — alors que le certificat step-ca est emis pour le
# FQDN de la machine. La verification echoue, curl ne rend RIEN, et le test « sortie vide »
# ci-dessous traduisait cela en « la forge ne repond pas » : un CRITICAL sur une forge qui
# servait le genome au meme instant.
#
# Valider le certificat ici reviendrait a mesurer la PKI depuis le mauvais endroit — c'est
# le travail de la sonde `certificat`, qui compare le cert SERVI a celui du disque. Celle-ci
# demande a Forgejo ce qu'il pense de lui-meme ; le transport n'est pas son sujet.
sortie=$(curl -sk --max-time 10 "${URL}/api/healthz" 2>/dev/null)
[[ -n "${sortie}" ]] || { echo "La forge ne repond pas sur ${URL}."; exit 2; }

verdict=$(printf '%s' "${sortie}" | python3 -c '
import json, sys
try:
    d = json.load(sys.stdin)
except Exception:
    print("2|reponse illisible de /api/healthz"); raise SystemExit
etat = d.get("status")
mauvais = sorted(n for n, v in (d.get("checks") or {}).items()
                 if any((c or {}).get("status") != "pass" for c in (v or [])))
if etat == "pass" and not mauvais:
    print("0|" + ", ".join(sorted(d.get("checks") or {})) + " : pass")
else:
    print("2|statut " + str(etat) + (" ; en defaut : " + ", ".join(mauvais) if mauvais else ""))
' 2>/dev/null)

code=${verdict%%|*}
texte=${verdict#*|}
[[ -n "${code}" ]] || { echo "Verdict de sante illisible."; exit 2; }

if [[ "${code}" == "0" ]]; then
  echo "Forge en etat de servir — ${texte}."
  exit 0
fi
echo "Forge EN DEFAUT — ${texte}."
exit 2