journal : l amorcage des artefacts, et deux diagnostics faux corriges par la mesure

L explication du commit precedent avait ete mangee par le shell (backticks), et le
garde-fou du genome a refuse l amend — l histoire de la forge fait foi (D-81). Elle
vit donc ici, avec ce que la mesure a corrige : un port muet lu comme un pare-feu
alors qu il mesurait une absence, et un acces cru perdu qui n etait qu une exception
retiree.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_019f91zs9SDdwSzL2CVei6on

CHANGELOG.md

@@ -1,5 +1,73 @@
 # CHANGELOG — Set-OPS
 
+## 2026-08-28 — Nourrir la première machine : le cache du site pendant la jeunesse
+
+**52 preuves.** `ops-01` est la première machine de la reconstruction de Chezlepro, et le
+socle y restait bloqué sur son premier `apt update`, sans message qui parle de réseau. La
+mesure, depuis la machine :
+
+```
+sortie Internet TCP 443    OK
+DNS UDP 53 -> 9.9.9.9      MUET
+plancher /etc/hosts        15 machines du tenant, AUCUNE du site
+```
+
+**Le DNS sortant est fermé par conception** — un tenant résout chez lui, son DNS ne
+traverse jamais la frontière. Or `apt` vise `deb.debian.org` **par son nom**, et le cache
+de l'écosystème n'existe pas encore.
+
+C'est le cas étroit que le plan du SITE nommait déjà, descendu d'un niveau : **la première
+machine d'un écosystème n'a ni résolveur ni cache, et c'est elle qui doit les construire.**
+
+### Un mandataire résout ce que le client ne peut pas résoudre
+
+`apt` envoie au mandataire l'**URL absolue** ; c'est lui qui traduit le nom. La machine
+n'a donc besoin d'aucun DNS pour installer ses paquets — seulement d'une **adresse**. D'où
+`artefacts_amorcage`, symétrique exact de `dns_amorcage`, à la même place dans le socle.
+
+**Aucun flux à ouvrir, et c'est la bonne surprise.** `serveur_cache_site` accepte déjà le
+3142 depuis `voisins_site`, qui résout les **supernets** des tenants — donc toute machine
+d'un locataire, pas seulement son cache. Vérifié depuis `ops-01` : *HTTP 200 en 0,158 s*,
+la résolution faite par le cache.
+
+### Ce n'est pas une rustine, c'est de la filiation
+
+L'hébergeur nourrit la première machine de son locataire le temps qu'il monte son propre
+cache. L'emprunt est **déclaré** — l'intrant nomme l'amont — et il s'efface :
+`client_artefacts` écrit `00-setops-artefacts`, qui trie **après** ce fichier-ci, donc
+gagne dès que l'écosystème a sa source. Le plancher reste dessous, comme `/etc/hosts`
+reste sous le DNS.
+
+*Retirer cette ligne le jour où le cache du tenant est debout est une **émancipation** — un
+geste, pas un effet.* C'est le premier service à recevoir cette forme après la forge, et le
+patron vaudra pour les sauvegardes, l'observabilité, le relais courriel.
+
+### Deux diagnostics faux, corrigés par la mesure
+
+**J'ai lu « BLOQUÉ » comme un pare-feu.** Les sondes vers le résolveur, le cache et la PKI
+du tenant échouaient toutes — j'y ai vu un filtre, puis j'ai appliqué le pare-feu est-ouest
+en croyant corriger. La vraie cause était une **absence** : `ops-01` est la seule VM de
+Chezlepro qui existe, les quatorze autres ne sont sur aucun hyperviseur. *Un port muet
+ressemble à un refus.*
+
+**Et j'ai cru avoir cassé mon propre accès.** Après l'application du pare-feu, `ops-01` est
+devenue injoignable depuis le poste — j'y ai vu une régression que j'aurais causée. Mesure :
+**aucune** machine de Chezlepro n'est joignable depuis le poste par ce rebond. `ops-01`
+l'était parce qu'elle n'avait *aucun* groupe de pare-feu. Je n'ai pas créé une panne, j'ai
+retiré une exception — et le seul chemin qui reste vers elle est le chemin **déclaré**,
+celui de l'insémination.
+
+*Le nœud `192.168.11.42` est injoignable, à traiter séparément.*
+
+### Le garde-fou du génome a refusé une histoire réécrite
+
+`--amend` sur un commit déjà poussé : le runner a refusé l'avance non rapide, exactement
+comme il doit. Les arbres étant identiques et seul le message différant, **c'est la version
+de la forge qui fait foi** (D-81) — et l'explication vit ici, où elle a de toute façon sa
+place.
+
+make verifier : vert.
+
 ## 2026-08-28 — Armer un runner est un acte, pas un réglage
 
 **52 preuves.** La séparation faite, la distribution devient sûre. `serveur_ops_site` et