Set-OPS-Public/roles/serveur_web_dorsal

serveur_web_dorsal

Le serveur qui porte les sites et les applications web du locataire : webapps dynamiques (runtime + service systemd) et, depuis le 2026-09-29, sites statiques (repris du web frontal). 100 % natif — venv/paquets + systemd + nginx, zéro conteneur. Codifié depuis le spike du 2026-07-05 (monregistraire : FastAPI + uvicorn + SQLite ; site Alliance Boréale).

Il est relayé par deux portes : l'edge pour les noms internes (l'administration), le web frontal (reverse proxy + WAF) pour les noms publics (l'Internet).

Patron

Pour chaque app déclarée dans serveur_web_dorsal_apps :

1. git clone (depth 1) → /srv/webapp/<nom> ;
2. venv Python + pip install -r requirements.txt ;
3. unité systemd (l'app écoute en 127.0.0.1:<port>, user webapp, durcie : NoNewPrivileges, PrivateTmp) ;
4. vhost nginx local qui fronte l'app (server_name → 127.0.0.1:<port>).

L'app reste en localhost (sûr) ; l'edge proxie server_name → nginx local → app. Exposé via applications.yml (port 80, pas le port interne de l'app).

Déclaration (group_vars du groupe serveur_web_dorsal)

serveur_web_dorsal_apps:
  - nom: registraire
    server_name: "registraire.{{ domaine_interne }}"
    depot: "https://forge.{{ domaine_interne }}/…/monregistraire.git"
    branche: main
    port: 8001
    commande: ".venv/bin/uvicorn app.main:app --host 127.0.0.1 --port 8001"
    env: { IMMOS_DB_PATH: /var/lib/registraire/immos.db }
    data_dir: /var/lib/registraire   # état local (SQLite), optionnel

Et une app groupe: serveur_web_dorsal, hote: <noeud>, port: 80, expose: [registraire.<domaine>].

Sites statiques

Pour chaque site déclaré dans serveur_web_dorsal_sites : git clone/pull → /srv/web/<nom>, puis un vhost nginx servant <sous_dossier> (ex. public/), avec en-têtes de sécurité + CSP (défaut : self only, aucun tiers), gzip, cache.

serveur_web_dorsal_sites:
  - nom: alliance
    server_name: "alliance-boreale.chezlepro.ca"     # le FQDN que le plan expose
    depot: "https://forge.{{ domaine_interne }}/alliance/site-alliance-boreale.git"
    branche: main
    sous_dossier: public

Et dans applications.yml : groupe: serveur_web_dorsal, hote: <noeud>, port: 80, expose: [<FQDN>]. Sonde sites-servis : un GET par server_name.

BD

Les apps à état local (SQLite) : data_dir persistant. Les apps à BD réseau (PostgreSQL) : déclarer la base dans bases-donnees.yml et passer le DSN via env (resoudre_base) — même motif que les autres services Set-OPS.

Runtimes

Éprouvé sur Python (FastAPI/uvicorn). Node/autres : adapter commande + les paquets de runtime (le patron systemd + nginx + git reste identique).

Validation

ansible-lint profil production + --syntax-check. Éprouvé sur web-frontal-01 (monregistraire servi via l'edge, HTTPS step-ca, API fonctionnelle) — avant que le frontal ne devienne le reverse proxy public.