journal : Chezlepro reconstruite par les runners, l'etat est revenu a l'identique

AC (meme racine), sysadmin, annuaire, Nextcloud, DKIM, bases : empreintes
identiques avant et apres. Un defaut trouve et corrige (annuaire vierge).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CHANGELOG.md

@@ -1,5 +1,45 @@
 # CHANGELOG — Set-OPS
 
+## 2026-09-30 (48) — Chezlepro rasée et reconstruite par les runners : l'état est revenu, à l'identique
+
+**La preuve visée** : que (47) remette réellement l'état, sur une vraie reconstruction.
+
+**Déroulé** : `make sauvegarder-maintenant` (8 instantanés à 03:06) ; empreintes témoins
+relevées ; depuis le runner du site `raser` (13/13), `flotte-creer`, `inseminer` ; armement
+depuis le poste (voûte, clé de voûte, identité SSH du runner reprise de la voûte) ; sur le
+runner de Chezlepro : `_amorcer-socle`, `deployer-tout`, `valider` — **0 échec**.
+
+**Chaque jeu a choisi l'instantané de 03:06**, le dernier avant la naissance des machines
+(03:12), et l'a remis :
+
+| Témoin | Avant | Après |
+|---|---|---|
+| racine de l'AC | `F0:32:89:A0:BB:98:79:AC` | identique — la flotte s'est enrôlée auprès d'elle |
+| `sysadmin` | empreinte `4406f2fa…`, changé le 2026-09-16, pas de changement forcé | identique |
+| annuaire | 12 entrées | 12 |
+| Nextcloud | 217 fichiers, `instanceid` `ocytcfy7ss5a` | identique |
+| clé DKIM | `760208b7…` | identique — l'enregistrement publié reste valable |
+| Keycloak | 100 tables, 2 utilisateurs | identique |
+| Nextcloud (base) | 139 tables | 139 |
+| boîtes | `root` | `root` (+ `testmail`, écrit par `valider`) |
+
+**Un défaut trouvé, dans le code d'hier soir** : la mesure « l'annuaire est-il vierge ? »
+filtrait par `grep -v` — sur un annuaire VRAIMENT vierge, plus aucune ligne, `grep` sort en
+1, `pipefail` fait échouer la tâche. Technolibre, déjà peuplée, ne pouvait pas l'exercer.
+Comptage par `awk`, puis reprise à `deployer-tout` : l'AC et les bases, déjà remises, ont été
+reconnues « actées » et n'ont pas été rejouées.
+
+**Après** : les 8 dépôts passent la garde ; contrôles de dépôt et de restauration rapportés
+à Icinga ; recette — fédération LDAP authentifiée, passerelle vers Keycloak, vigie,
+Nextcloud, Dovecot ; `essai.chezlepro.ca` sur `.61` → 200, page absente → la 404 du PSPBT.
+Pare-feu Proxmox réactivé VM par VM : 13/13, flux identiques avant et après, Icinga à 0
+critique.
+
+**Ce que ça prouve, et ce que ça ne prouve pas.** Une reconstruction complète d'un
+écosystème, conduite par les runners, **rend l'état qu'on lui a confié** — la limite
+qu'énonçait honnêtement (46). Le SITE, lui, n'a toujours jamais été reconstruit ; et chaque
+reconstruction a encore trouvé un défaut (ici un seul, dans le code neuf).
+
 ## 2026-09-30 (47) — La reconstruction remet l'état : chaque rôle propriétaire restaure le sien
 
 **Le défaut** (46) : une reconstruction repartait d'un état neuf. Les instantanés se