---
# Supervision derivee du groupe. Voir docs/supervision-conception.md.
#
# POURQUOI CETTE SONDE EXISTE, ET CE QU'ELLE NE MESURE PAS.
#
# `auditd` est le seul service de securite du socle dont la panne soit SILENCIEUSE et
# TROMPEUSE a la fois. Le 2026-08-30, sur les quinze machines de Chezlepro, un doublon
# dans `rules.d/` faisait echouer `audit-rules.service` — dont le demon depend. Resultat :
# onze regles armees dans le noyau, `auditctl -l` les affichant toutes, et personne pour
# collecter. Pendant tout ce temps le deploiement rapportait `failed=0`.
#
# CE QU'ON NE MESURE PAS : le nombre de regles. C'est exactement le chiffre qui restait
# bon pendant la panne ; en faire un verdict aurait donne du vert. Il part en perfdata,
# pour que le diagnostic distingue « rien d'arme » de « arme mais rien de collecte ».
#
# CE QU'ON MESURE : le service tourne, ET le journal a bouge recemment. Les deux, parce
# qu'un `auditd` vivant qui n'ecrit plus — disque plein, `disk_full_action = SUSPEND` —
# laisse la meme trace qu'un audit en bonne sante pour qui ne regarde que `systemctl`.
sondes:
  - nom: audit
    ttl: 5400
    raison: >-
      La piste d'audit s'ecrit-elle vraiment ? Des regles armees dans le noyau ne
      prouvent pas qu'un demon collecte : le 2026-08-30, quinze machines ont eu les
      deux apparences de la sante sans qu'une seule ligne soit ecrite.