Daniel Allaire
e9b9e9b7ea
Six majeures d'un coup, mais la decouverte importante est ailleurs. LA « ROTATION DE CLE » N'EN ETAIT PAS UNE. Quatre versions, trois signataires differents — 10.0.0 par B3B1F60A, 12.0.0 par D0A82005, 14.0.0 et 16.0.2 par C4186DF6. Ce ne sont pas des cles distinctes : ce sont des SOUS-CLES de signature sous une primaire stable depuis 2022 (EB114F5E...C5923710, « Forgejo <contact@forgejo.org> »). La sous-cle 0F527CF9...0E1609E5 est bien celle qui avait signe la 12.0.0. D'ou une correction du verificateur : il comparait l'empreinte du SIGNATAIRE, donc une sous-cle, et aurait echoue a chaque rotation LEGITIME — on aurait appris a lever la garde pour avancer, ce qui est la pire chose qui puisse arriver a un controle. Il accepte desormais la cle primaire (dernier champ de VALIDSIG), qui survit aux rotations et refuse quand meme une cle etrangere. FORGEJO A L'ANCRE QUE KEYCLOAK N'A PAS. forgejo.org/download publie l'empreinte, et le binaire vient de codeberg.org : la source de confiance est INDEPENDANTE du canal de livraison. Le projet annonce lui-meme la rotation (« the GPG key is updated on a regular basis »), ce qui confirme qu'epingler la primaire est le bon choix. Somme sha256 egalement publiee et verifiee conforme. Eprouve dans les deux sens : nominal 0 ; binaire altere d'un octet 1 ; empreinte de Keycloak appliquee a Forgejo 1 ; signature d'un autre artefact 1 ; et Keycloak ne regresse pas apres modification du comparateur. Verifie : versions-mesurer 0 en retard, role applique sur forge-01, ansible-lint production sur 50 fichiers, prouver.py 35 OK (code lu sans tube). Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> |
||
|---|---|---|
| .. | ||
| defaults | ||
| files | ||
| handlers | ||
| meta | ||
| tasks | ||
| templates | ||
| README.md | ||
serveur_forgejo
Forge Git Forgejo (binaire officiel) — dépôts Git, CI, revue de code.
Rôle
- Installe le binaire Forgejo (version épinglée, lien symbolique courant), utilisateur
git. - Crée l'arborescence (
/var/lib/forgejo,/etc/forgejo). - Base PostgreSQL via le registre (
instance/plan/bases-donnees.yml, entréeforgejo). app.ini: serveur derrière nginx (HTTP_ADDR=127.0.0.1,ROOT_URLhttps), DB, secrets, mailer versserveur_postfix, inscription désactivée,INSTALL_LOCK(pas d'assistant web).- Service systemd + création du compte administrateur initial (une fois).
Secrets requis (Vault)
serveur_forgejo_secret_key: "{{ vault_forgejo_secret_key }}" # forgejo generate secret SECRET_KEY
serveur_forgejo_internal_token: "{{ vault_forgejo_internal_token }}" # forgejo generate secret INTERNAL_TOKEN
serveur_forgejo_admin_password: "{{ vault_forgejo_admin }}"
vault_bd_forgejo: "..." # mot de passe BD (partage avec serveur_postgresql)
Variables principales
| Variable | Défaut | Rôle |
|---|---|---|
serveur_forgejo_version |
10.0.0 |
Version (à vérifier/bumper) |
serveur_forgejo_hostname |
forge.exemple.internal |
Domaine (via nginx) |
serveur_forgejo_db_host |
10.0.13.11 |
data-01 |
Identité visuelle (thème Alliance Boréale)
Désactivée par défaut : serveur_forgejo_branding: false. À true, le rôle copie
files/custom/ vers {{ serveur_forgejo_data }}/custom/ — logo, favicon, page
d'accueil et la feuille public/assets/css/alliance.css, injectée sur toutes les
pages par templates/custom/header.tmpl.
Le wiki n'a donc pas de thème distinct : Forgejo le rend avec le même habillage, et la feuille le couvre au même titre que les dépôts, les tickets et les README.
alliance.css est en deux sections, de risque différent :
| Section | Contenu | Risque | État |
|---|---|---|---|
| §1 Variables | surcharge des variables de couleur officielles (--color-primary, --color-body…) |
Sûr — aucune classe interne touchée, résiste aux mises à jour | Éprouvé sur forge-01 (CHANGELOG 2026-07-03 : alliance.css servi, cyan aurore rendu) |
| §2 Décor | fond aurore (body), filet sous les titres, citations, tableaux et code en ligne du contenu rendu (.markup) |
Fragile — sélecteurs internes de Forgejo, à revérifier après chaque montée de version majeure | Jamais rendu — ajouté le 2026-07-21, validé en syntaxe CSS seulement |
Supprimer §2 ramène au thème sobre d'origine : §1 se suffit à elle-même.
Le ciel nocturne ne s'applique qu'aux thèmes sombres (theme-forgejo-dark,
theme-forgejo-auto) pour ne pas casser le thème clair.
Pour une forge hors flotte (instance Forgejo non gérée par Set-OPS), la pose manuelle
des mêmes fichiers est décrite dans docs/theme-forgejo-hors-flotte.md.
Notes / limites
- Version à confirmer sur forgejo.org/download ; l'URL suit le motif officiel des releases.
- Le site nginx publiant Forgejo se déclare côté
serveur_nginx. - Mailer en SMTP simple vers le relais interne (sans TLS pour l'instant).
- forge-01 a existé, puis a été supprimée. L'hôte est donc
etat: planifiedansinstance/plan/serveurs.yml(état actuel) alors queCHANGELOG.md(2026-07-03) affirme le branding « prouvé sur forge-01 » (état passé, accueil 200,alliance.cssservi). Les deux disent vrai : ce n'est pas une contradiction, c'est un enregistrement historique face à un état courant. La preuve reste valable — elle ne sera simplement rejouable qu'après recréation de l'hôte.
Prérequis
- Dépendances
serveur_postgresql,serveur_nginx,serveur_postfix(cf.docs/dependances-groupes.yml).