---
# Flux réseau de Forgejo (forge Git). Voir docs/flux-conception.md.
flux:
  # LE PORT DE LA FORGE N'EST PAS LE MÊME PARTOUT (2026-08-25).
  #
  # `3000` est le port qu'elle écoute DERRIÈRE un edge, en clair : le nginx termine le TLS
  # et lui parle sur la boucle locale. C'était vrai de toutes les forges tant qu'il y avait
  # toujours un edge devant.
  #
  # La forge du SITE n'en a pas — le site n'a pas d'edge — et sert son propre TLS sur le
  # port du schéma, `443`. Écrire `3000` en dur ici serait donc devenu faux pour elle,
  # sans que rien ne le signale : ce flux ne traverse pas la frontière, donc aucun devis
  # ne s'en plaint. Une déclaration fausse qui ne gêne personne est une déclaration qui
  # dérive jusqu'au jour où quelqu'un s'y fie.
  #
  # `derive` dit la vérité : le port vient de `serveur_forgejo_http_port`, et
  # `verifier_ports` sait qu'il n'y a pas d'écoute fixe à comparer.
  # DEUX ENTREES, PARCE QUE CE SONT DEUX SITUATIONS — pas une ligne qui dirait « ça
  # dépend ». Le vocabulaire des flux n'a pas de mot pour l'indécision, et c'est tant
  # mieux : un flux se lit pour savoir ce qui circule et comment. Une valeur ambiguë
  # rendrait l'audit impossible sans aller lire le déploiement.
  - sens: ingress
    port: 3000
    protocole: tcp
    pair: edge
    chiffrement: clair
    raison: >-
      Interface web + Git HTTP derrière un edge : le nginx termine le TLS et parle en
      clair à la forge. C'est le cas de tout tenant.
  - sens: ingress
    port: derive
    protocole: tcp
    pair: flotte
    chiffrement: tls
    raison: >-
      Sans edge devant elle — la forge du SITE — elle sert son propre TLS sur le port du
      schéma (443), avec le certificat de la machine. `derive` parce que le port vient de
      `serveur_forgejo_http_port` : écrire 3000 en dur ici serait faux pour elle, et rien
      ne le signalerait puisque ce flux ne traverse pas la frontière.
  - sens: egress
    port: 5432
    protocole: tcp
    pair: serveur_postgresql
    chiffrement: tls-requis
    raison: "Base de données Forgejo (verify-full)."
  - sens: egress
    port: 25
    protocole: tcp
    pair: serveur_postfix
    chiffrement: starttls
    raison: "Notifications courriel (relais via le MTA Postfix)."
  - sens: egress
    port: 443
    protocole: tcp
    pair: edge
    chiffrement: tls-requis
    raison: "Découverte OIDC et jetons auprès de Keycloak (via son FQDN publié à l'edge)."