Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests 1 Projects Releases Packages Wiki Activity
Set-OPS-Public/roles/serveur_web_frontal
History
Daniel Allaire 37753984a7 services publics des locataires : web frontal 80/443, soumission 587/465 ; externe ouvre a tous chez les locataires 
Le web frontal devient la porte publique (80/443 externe) ; Postfix publie la soumission
587 et ajoute le 465 (TLS direct). Le generateur nftables ouvrait un flux externe combine
a une source nommee a cette seule source : l Internet etait refuse par l hote. Corrige chez
les locataires ; au site, rien ne s elargit.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-09-29 16:09:31 -04:00
..
defaults supervision : les huit derniers roles, et deux defauts que l epreuve a trouves 2026-09-14 15:43:52 -04:00
handlers Rôles web : renommer web_frontal/dorsal -> serveur_web_frontal/dorsal (convention) 2026-07-05 18:49:31 -04:00
meta services publics des locataires : web frontal 80/443, soumission 587/465 ; externe ouvre a tous chez les locataires 2026-09-29 16:09:31 -04:00
tasks supervision : les huit derniers roles, et deux defauts que l epreuve a trouves 2026-09-14 15:43:52 -04:00
templates supervision : les huit derniers roles, et deux defauts que l epreuve a trouves 2026-09-14 15:43:52 -04:00
README.md Rôles web : renommer web_frontal/dorsal -> serveur_web_frontal/dorsal (convention) 2026-07-05 18:49:31 -04:00

README.md

serveur_web_frontal

Hébergement de sites web statiques (nginx), derrière l'edge. Première brique de la plateforme webapp de Set-OPS : 100 % natif — pas de conteneur, pas de runtime, pas de base de données. Le contenu vient d'un dépôt git souverain (Forgejo). Codifié depuis le spike du 2026-07-05 (site Alliance Boréale).

Ce que le rôle fait

Pour chaque site déclaré dans serveur_web_frontal_sites :

  1. git clone/pull du dépôt → /srv/web/<nom> ;
  2. vhost nginx servant <sous_dossier> (ex. public/), avec en-têtes de sécurité
    • CSP (défaut : self only, aucun tiers, aucun pistage), gzip, cache, try_files.

Exposé via applications.yml (champ expose) → l'edge proxie en HTTPS (TLS step-ca). Les SAN du cert edge et le plancher /etc/hosts sont auto-dérivés du plan.

Déclaration (group_vars du groupe serveur_web_frontal)

serveur_web_frontal_sites:
  - nom: alliance
    server_name: "alliance-boreale.{{ domaine_interne }}"
    depot: "https://forge.{{ domaine_interne }}/alliance/site-alliance-boreale.git"
    branche: main
    sous_dossier: public
    # csp: "..."   # optionnel, sinon serveur_web_frontal_csp_defaut

Et dans applications.yml : une app groupe: serveur_web_frontal, hote: <noeud>, port: 80, expose: [alliance-boreale.<domaine>].

Portée

Statique seulement (le frontal). Les apps dynamiques (runtime + service systemd + BD via resoudre_base) relèveront d'un rôle dorsal à venir — même éthos : natif, systemd, zéro conteneur.

Validation

ansible-lint profil production + --syntax-check. Éprouvé sur web-frontal-01 (site servi via l'edge, HTTPS step-ca vérifié, CSP en place).