---
# Flux réseau de Loki (journaux). Voir docs/flux-conception.md.
flux:
  - sens: ingress
    port: 3100
    protocole: tcp
    pair: client_journal
    chiffrement: tls
    raison: "Réception des journaux poussés par Alloy (client_journal) en HTTPS (http_tls_config, cert step-ca)."
  - sens: ingress
    port: 3100
    protocole: tcp
    pair: localhost
    chiffrement: clair
    raison: "Requêtes de Grafana co-localisé (datasource Loki en localhost)."

  # LA FABRIC JOURNALISE AUSSI, ET ELLE, ELLE PEUT POUSSER (2026-09-10).
  #
  # Les metriques des hyperviseurs sont TIREES : leur route par defaut est gelee (D-57) et
  # le porteur de sante y expirait. Les journaux, eux, passent — parce que les routes
  # SPECIFIQUES vers les zones du site ont ete completees le meme jour (`10.0.35.0/24` et
  # `10.0.36.0/24` manquaient). Alloy pousse donc vers Loki comme n'importe quelle machine.
  #
  # LA DIFFERENCE AVEC LES METRIQUES N'EST PAS UN CAPRICE : un scrape part du collecteur et
  # doit REVENIR, ce qui exige un chemin symetrique ; un push part de la source et n'attend
  # qu'un accuse. La route completee suffit au second, pas au premier.
  - sens: ingress
    port: 3100
    protocole: tcp
    pair: fabric
    chiffrement: tls
    raison: >-
      Journaux des hyperviseurs. La machine qui PORTE les VM ecrivait ses journaux nulle
      part ailleurs que sur son propre disque — invisibles le jour ou c'est elle qui casse.