Daniel Allaire
989398f3cf
Renommer une exposition touche cinq choses. Quatre suivent au deploiement ; la cinquieme est celle que le navigateur regarde. serveur_nginx pose le vhost et laisse le SAN en arriere — c est client_pki qui reemet, et rien ne le reclame. Mesure deux fois le 2026-09-10. Le controle compare trois listes : les expositions du plan, les noms du certificat servi, et le code que rend le vhost. Dans les deux sens : un nom reste dans le SAN apres avoir quitte le plan continue d etre authentifie. Piege trouve en l ecrivant : client_pki met toujours le FQDN et le nom court de la machine dans le SAN. Les compter comme vestiges faisait crier le controle a chaque execution — et un controle qui crie toujours ne se lit plus. Deux formes de terminaison, une seule question : le locataire termine sur un edge, le site sur la machine elle-meme. Le porteur se derive de l une ou de l autre. Ce n est pas une preuve : rien de statique ne peut lire un certificat servi. Les quatre controles a la demande n etaient nommes nulle part comme famille ; ils ont maintenant leur section dans les runbooks. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
5 lines
188 B
YAML
5 lines
188 B
YAML
---
|
|
# Ecrit par `make wiki-publier`, lu par la preuve P60. Ne pas editer a la main.
|
|
remote: ssh://git@forge.genese.internal/genome/set-ops-public.wiki.git
|
|
source: 5f5af70
|
|
date: 2026-09-11
|