---
# Supervision derivee du role. Voir docs/supervision-conception.md.
#
# CE QUE CETTE SONDE MESURE, ET POURQUOI CELA PLUTOT QUE LE RESTE.
#
# Nos certificats vivent 24 HEURES. Ce n'est pas un detail d'exploitation : c'est ce qui
# rend la chaine entiere dependante d'un minuteur qui tourne. Une machine dont le
# renouvellement s'arrete ne casse pas tout de suite — elle casse le LENDEMAIN, et alors
# tout ce qui parle TLS avec elle tombe en meme temps.
#
# CE QU'ON NE MESURE PAS, ET C'EST DELIBERE :
#
#   - « le minuteur est-il actif ? » — un minuteur vert qui echoue chaque nuit est
#     exactement le mensonge que ce depot a deja paye avec les sauvegardes. On mesure le
#     RESULTAT, pas l'intention.
#   - « le certificat existe-t-il ? » — un certificat perime existe.
#   - la duree de la poignee TLS, l'algorithme, la taille de clef : ce sont des metriques
#     ou des audits, pas la question « est-ce casse ? ».
#
# CE QU'ON MESURE : le temps qui reste avant expiration, sur le certificat REELLEMENT
# POSE. Un renouvellement qui s'est arrete se voit des la premiere fenetre manquee, et
# bien avant la panne.
#
# ET LE CERTIFICAT SERVI, PAS SEULEMENT CELUI DU DISQUE. Mesure du 2026-08 : un cert
# renouvele sur disque restait servi PERIME en memoire tant que nginx/postfix/slapd
# n'etaient pas recharges. Le fichier disait « tout va bien », le port disait le
# contraire. La sonde compare donc les deux quand un service consomme le certificat.
sondes:
  - nom: certificat
    metier: socle
    # 5400 s = une heure et demie, soit six fois la periode du porteur (15 min). Cinq
    # passages peuvent manquer avant qu'Icinga ne perime : on ne crie pas pour un hoquet,
    # on crie pour un silence.
    ttl: 5400
    raison: >-
      Le certificat d'hote est-il encore valide assez longtemps, et le service qui le
      consomme sert-il bien CELUI-LA ? Nos certificats vivent 24 h : un renouvellement
      arrete ne se voit qu'au lendemain, quand tout ce qui parle TLS tombe ensemble.