Set-OPS-Public/roles/serveur_web_frontal/meta/flux.yml

---
# Flux reseau du frontal web (propriete du role). Voir docs/flux-conception.md.
flux:
  - sens: ingress
    port: 80
    protocole: tcp
    pair: edge
    chiffrement: clair
    raison: "Contenu statique servi au navigateur via l'edge (TLS termine a l'edge)."
  - sens: egress
    port: 443
    protocole: tcp
    pair: flotte
    chiffrement: tls
    raison: "git clone/pull du depot du site (Forgejo souverain) au deploiement."
web_frontal : rôle sites statiques (1re brique plateforme webapp, 100% natif) nginx + sites statiques depuis un dépôt git souverain, derrière l'edge. Pas de conteneur, pas de runtime, pas de BD — l'éthos libre/natif. Chaque site : git clone → vhost (headers sécurité + CSP self-only, gzip, try_files). SAN edge + plancher auto-dérivés. meta/flux.yml (ingress 80 depuis edge). Spike prouvé sur web-frontal-01 (site Alliance Boréale servi via edge, HTTPS step-ca vérifié, CSP en place). NB : le chemin git-clone est codifié mais le spike a servi via copie locale → à éprouver (pousser le site en Forgejo). Les apps dynamiques (dorsal systemd) = rôle à venir. ansible-lint production: 0. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> 2026-07-05 18:12:19 -04:00			`---`
			`# Flux reseau du frontal web (propriete du role). Voir docs/flux-conception.md.`
			`flux:`
			`- sens: ingress`
			`port: 80`
			`protocole: tcp`
			`pair: edge`
			`chiffrement: clair`
			`raison: "Contenu statique servi au navigateur via l'edge (TLS termine a l'edge)."`
			`- sens: egress`
			`port: 443`
			`protocole: tcp`
			`pair: flotte`
			`chiffrement: tls`
			`raison: "git clone/pull du depot du site (Forgejo souverain) au deploiement."`