# La clé de signature du dépôt Smallstep — versionnée, et pourquoi

```
pub   rsa2048 2021-05-04 [SC]
      35BA A0B3 3E9E B396 F59C  A838 C0BA 5CE6 DC63 15A3
uid   Artifact Registry Repository Signer <artifact-registry-repository-signer@google.com>
```

## Pourquoi elle est ici et non téléchargée

**Un tenant n'a pas de DNS sortant, et c'est voulu** — il résout chez lui, sa requête ne
traverse jamais la frontière. `apt` s'en sort par le mandataire du cache, qui résout à sa
place ; `get_url` n'a pas de mandataire.

Mesuré le 2026-08-30 sur `infra-pki-01`, première machine à porter l'autorité de
certification de Chezlepro :

```
Request failed: <urlopen error [Errno -3] Échec temporaire dans la résolution du nom>
url: https://packages.smallstep.com/keys/apt/repo-signing-key.gpg
```

La dette était déjà nommée dans `roles/client_artefacts/defaults/main.yml` : *« les dépôts
tiers en HTTPS continuent d'aller en direct […] la seconde voie est propre et reste à
faire »*. Elle a été appelée le jour où un écosystème s'est reconstruit derrière une
frontière qui fait son travail.

**Ce que ça achète : une lignée qui se reproduit sans Internet.** C'est le même principe
que les collections Ansible et les roues Python — le contrôleur récupère une fois, le
dépôt porte, la cible n'ouvre rien.

## Ce que ça coûte, et qu'il faut savoir

Cette clé **expirera ou tournera** un jour. Le dépôt apt échouera alors bruyamment, à la
vérification de signature — un échec clair, pas un silence. C'est le bon sens de la panne :
mieux vaut un refus lisible qu'un téléchargement qui réussit depuis n'importe où.

## La remettre à jour

Depuis une machine qui a le DNS (le poste de l'exploitant), **et en suivant les
redirections** — l'URL publique renvoie vers `pkgs.infra.smallstep.com`, et sans `-L` on
récupère un fichier VIDE que rien ne signale :

```sh
curl -fsSL https://packages.smallstep.com/keys/apt/repo-signing-key.gpg \
  -o roles/serveur_step_ca/files/smallstep-repo-signing-key.asc
gpg --show-keys --with-fingerprint roles/serveur_step_ca/files/smallstep-repo-signing-key.asc
```

Comparer l'empreinte à celle du haut de ce fichier avant de committer. Une clé qu'on
remplace sans regarder son empreinte n'est plus une clé, c'est un fichier.