---
# Flux réseau du RÉSOLVEUR DU SITE. Voir docs/flux-conception.md.
#
# TROISIÈME SERVICE QUE LE SITE PRÊTE À SES LOCATAIRES, après les paquets
# (`serveur_cache_site`) et le génome (`serveur_forge_site`). Même patron, même raison :
# un écosystème neuf n'a ni cache, ni forge, ni résolveur — et c'est lui qui doit les
# construire.
#
# CE QUE ÇA A COÛTÉ DE NE PAS L'AVOIR (2026-08-30). `infra-pki-01`, première machine à
# porter l'autorité de Chezlepro, n'a pas pu récupérer une clé de signature :
#
#     Echec temporaire dans la resolution du nom
#
# `apt` s'en sortait par le mandataire du cache, qui résout à sa place. Tout ce qui ne
# passe pas par apt — un `get_url`, un `git clone`, une sonde — n'avait aucun moyen de
# traduire un nom. Le tenant sortait en 443 par adresse et restait aveugle aux noms.
#
# POURQUOI PAS L'UNBOUND DE LA FRONTIÈRE. Il tourne sur le boîtier sans être un service
# géré, et le plan du site l'a déjà écrit une fois : *un processus n'est pas un service*.
# Celui-ci est déployé par le moteur, vérifié par le harnais, et porte ses flux.
#
# `voisins_site` désigne les autres tenants que CE SITE héberge. Ni `flotte` (mon
# écosystème), ni `externe` — un résolveur ouvert au monde est un relais d'amplification.
flux:
  - sens: ingress
    port: 53
    protocole: udp
    pair: voisins_site
    chiffrement: clair
    raison: >-
      Les écosystèmes de ce site résolvent ici tant qu'ils n'ont pas leur propre
      résolveur. `client_resolveur` les bascule chez eux dès qu'il existe ; retirer cet
      emprunt est alors une émancipation.
    # CE RÔLE N'OUVRE AUCUNE ÉCOUTE — il emprunte celle de `serveur_resolveur`, sur le
    # même hôte. Sans ce mot, P33 y voit deux rôles qui se disputent le port 53.
    partage: true
  - sens: ingress
    port: 53
    protocole: tcp
    pair: voisins_site
    chiffrement: clair
    raison: "Réponses longues et bascule TCP, obligatoires en DNS."
    partage: true