---
# Flux réseau de la FORGE DU GÉNOME DU SITE. Voir docs/flux-conception.md.
#
# UN SEUL FLUX, et c'est tout son sens : servir le génome aux écosystèmes que ce site
# héberge. `serveur_forgejo` porte le reste (servir sa propre flotte, ses miroirs).
#
# EXACTEMENT LE SYMÉTRIQUE DE `serveur_cache_site`. Le site rend deux services à ses
# locataires pendant leur jeunesse : les paquets et le génome. Le premier était déclaré,
# le second ne l'était pas — et pourtant D-81 fait de cette forge l'AUTORITÉ dont tout
# écosystème se reproduit.
#
# CE QUE ÇA A COÛTÉ (2026-08-28) : `ops-01`, première machine de la reconstruction de
# Chezlepro, atteignait le cache du site et restait bloquée sur le clonage du génome.
#
#     cache du SITE 10.0.33.21:3142 : OK
#     forge du SITE 10.0.33.11:443  : BLOQUÉ
#
# Le plan du tenant déclarait pourtant lire son génome à cette adresse. **Une dépendance
# déclarée chez le consommateur, sans flux correspondant chez le fournisseur** — et rien
# ne le signalait, parce que la garde de matrice ne vérifie que les paires rôle→rôle.
#
# `voisins_site` désigne les autres tenants que CE SITE héberge. Ni `flotte` (mon
# écosystème), ni `externe` — qui aurait publié la forge du génome à l'Internet.
#
# LA RÈGLE APPARTIENT AU SITE : c'est son runner qui prépare le terrain, pas un tenant
# qui ouvrirait une porte chez un autre.
flux:
  - sens: ingress
    port: 443
    protocole: tcp
    pair: voisins_site
    chiffrement: tls-requis
    raison: >-
      Servir le génome aux écosystèmes de ce site : c'est de cette forge qu'ils clonent
      leur moteur, leurs modèles et la carte de la fabric (D-81). Sans ce flux, un
      écosystème neuf ne peut pas se reproduire.
    # CE RÔLE N'OUVRE AUCUNE ÉCOUTE — il emprunte celle de `serveur_forgejo`, sur le même
    # hôte. Sans ce mot, P33 y voit deux rôles qui se disputent le 443, et elle a raison
    # de le demander : seul le registre distingue « j'ouvre » de « j'autorise une source
    # de plus sur l'écoute d'un autre ».
    partage: true