---
# Flux reseau du frontal web (propriete du role). Voir docs/flux-conception.md.
flux:
  - sens: ingress
    port: 80
    protocole: tcp
    pair: edge
    chiffrement: clair
    raison: "Contenu statique servi au navigateur via l'edge (TLS termine a l'edge)."
  # LE WEB FRONTAL EST LA PORTE PUBLIQUE DU LOCATAIRE (2026-09-29). L'edge expose les services
  # INTERNES a l'administration ; ce qui est publie sur l'Internet l'est ici, par l'adresse
  # publique que le site attribue au locataire (redirection a la frontiere). Le 443 attend son
  # TLS (Let's Encrypt) : la redirection est prete avant lui.
  - sens: ingress
    port: 80
    protocole: tcp
    pair: externe
    chiffrement: clair
    raison: "HTTP public — le premier contact d'un navigateur, et le defi HTTP d'ACME ; renvoie vers HTTPS."
  - sens: ingress
    port: 443
    protocole: tcp
    pair: externe
    chiffrement: tls-requis
    raison: "HTTPS public — les sites et services que le locataire publie sur l'Internet."
  - sens: egress
    port: 443
    protocole: tcp
    pair: flotte
    chiffrement: tls
    raison: "git clone/pull du depot du site (Forgejo souverain) au deploiement."