2026-08-23 14:41:56 -04:00
# serveur_artefacts
**La source d'artefacts de l'écosystème** : un cache apt (apt-cacher-ng) qui sert à toute
la flotte les paquets qu'elle installe, au lieu de les faire chercher chez Debian.
## Principe
La forge héberge le **code** . Il manquait qui héberge les **binaires** . Pour poser une
seule machine, un écosystème allait chercher chez six serveurs étrangers :
`deb.debian.org` , `security.debian.org` , `packages.smallstep.com` , `apt.grafana.com` ,
`packages.icinga.com` , `codeberg.org` .
Ce n'est pas théorique. `packages.smallstep.com` est intermittent — la même URL pend au
premier essai et répond en 0,48 s au second — et a fait échouer un déploiement de
quarante minutes sur la **première** machine.
## Ce que ce rôle couvre, et ce qui est couvert ailleurs
| | |
|---|---|
| **dépôts apt** | ce rôle — un cache, servi à la flotte |
2026-10-09 10:24:38 -04:00
| **téléchargements directs** (Forgejo, Keycloak, Nextcloud et ses applications, oauth2-proxy) | ce rôle — le **dépôt de binaires** (`/var/lib/setops/artefacts-directs`, servi sous `/setops-binaires` sur le même port) |
| **ce que le runner installe** (roues Python, collections Ansible, `verrou-runner.yml` ) | ce rôle — le même dépôt de binaires |
2026-08-23 14:41:56 -04:00
2026-10-09 10:24:38 -04:00
Les rôles consommateurs prennent ces fichiers au dépôt du site d'abord, vérifient leur somme
(ou leur signature), et ne sortent sur Internet qu'en repli, en le disant. Depuis le
2026-10-09, une reconstruction ne demande plus rien à PyPI, Galaxy ni à l'app store de
Nextcloud quand le dépôt est rempli.
2026-08-23 14:41:56 -04:00
## Ce qu'il ne couvre pas encore
**Les dépôts tiers en HTTPS** (Smallstep, Grafana, Icinga) continuent d'aller en direct.
Les faire passer par le cache exigerait soit de casser le TLS de bout en bout, soit de
réécrire leurs sources en `http://cache/<remap>/…` . La seconde voie est propre et reste à
faire. Le dire vaut mieux que le laisser croire.
## Le mode hors ligne, qui est aussi l'épreuve
```yaml
serveur_artefacts_hors_ligne: true
```
Le cache cesse d'aller en amont : il sert ce qu'il détient et refuse le reste. C'est
l'état d'un écosystème coupé du monde — et **le seul moyen de prouver que le cache sert
vraiment**. Tant qu'internet répond, un `apt update` qui réussit ne dit pas d'où vient
l'octet.
## Pourquoi le trafic est en clair, et pourquoi c'est correct
L'intégrité d'un dépôt apt ne vient pas du transport mais des **signatures** , qu'`apt`
vérifie de toute façon. Un intermédiaire ne peut pas altérer un paquet sans se faire
prendre. Restreindre *qui* interroge le cache est le travail du pare-feu est-ouest,
dérivé de `meta/flux.yml` — pas d'une authentification.
## Variables principales
| Variable | Défaut | Rôle |
|---|---|---|
| `serveur_artefacts_port` | `3142` | port d'écoute |
| `serveur_artefacts_cache` | `/var/cache/apt-cacher-ng` | où les paquets sont retenus |
| `serveur_artefacts_expiration_jours` | `30` | rétention sans redemande |
| `serveur_artefacts_hors_ligne` | `false` | couper l'amont (et éprouver) |
## Ce que ce rôle ne fait pas
Il ne sauvegarde rien : un cache se reconstitue en le re-remplissant. Le sauvegarder
reviendrait à sauvegarder les binaires de Debian.
