---
# Flux réseau de PostgreSQL (propriété du rôle). Voir docs/flux-conception.md.
flux:
  - sens: ingress
    port: 5432
    protocole: tcp
    pair: [serveur_keycloak, serveur_forgejo, serveur_icinga, serveur_nextcloud]
    chiffrement: tls-requis
    raison: "Connexions applicatives à PostgreSQL (verify-full ; pg_hba hostssl)."
  # L'EXPORTATEUR DE METRIQUES — declare ICI, et pas dans `meta/metriques.yml`.
  #
  # Un flux est un flux : il vit la ou vivent les autres flux de ce role. `metriques.yml`
  # declare QUOI mesurer et OU le lire ; ce fichier declare QUI a le droit d'y aller.
  # Deux fichiers pour un meme fait finiraient par diverger — assez d'exemples ici.
  #
  # `serveur_prometheus` SEUL. Pas `flotte`, pas une source vide : l'exportateur publie
  # l'etat interne de la base — nombre de connexions, tailles, ratios — et ca ne regarde
  # que l'observatoire.
  - sens: ingress
    port: 9187
    protocole: tcp
    pair: [serveur_prometheus]
    # DETTE FERMEE (2026-10-12). Inscrite `clair` le 2026-09-14 : l'exportateur sert
    # desormais en HTTPS (`--web.config.file`, certificat de la machine resynchronise a chaque
    # renouvellement), et Prometheus verifie contre l'autorite des que
    # `serveur_postgresql_tls_actif` est vrai — partout, au site comme chez les locataires.
    chiffrement: tls
    raison: >-
      Metriques PostgreSQL lues par l'observatoire, en HTTPS verifie. Series, pas verdicts :
      ce qui derive lentement — cache qui decroche, connexions qui montent, bases qui
      grossissent — n'a que le graphe pour se faire voir.