History

Daniel Allaire 6e46ace4de sondes : les cinq qui manquaient le plus (autorite, base, annuaire, zones, edge) CORRECTION DE COMPTE D ABORD. J avais annonce cinq groupes sans sonde. La mesure en donne VINGT-SEPT : j avais compte ceux que j avais en tete, pas ceux que le depot contient. Il en reste vingt-deux. LES CINQ, PAR ORDRE DE DEGAT SILENCIEUX. autorite (step_ca) — la plus urgente : nos certificats vivent 24 h, une AC muette ne casse rien aujourd hui et casse TOUT demain, d un coup, sur les 21 machines. Elle surveille aussi l expiration de la RACINE, que personne ne regarde parce qu elle vit des annees (relevee a 3642 jours). base (postgresql) — une VRAIE requete, pas pg_isready : celui-ci dit que le port repond, pas que la base sert. Plus le compte des connexions : a saturation, chaque application tombe sans que la base ait l air morte. annuaire (openldap) — elle COMPTE les entrees. Un annuaire vide repond success a tout : le mensonge des sauvegardes vides, vert et sans contenu. zones (powerdns) — un autoritatif sans zone repond NXDOMAIN a tout, ce qui se lit comme « ce nom n existe pas ». edge (nginx) — elle valide la configuration SUR DISQUE : nginx sert la derniere valide, et une configuration cassee ne se voit qu au prochain demarrage, souvent des mois plus tard. Les cinq eprouvees vertes sur le sain puis rouges PAR PARAMETRE, sans toucher a un service. Etat : 20 sondes sur 19 roles, 23 services distincts, 70 instances, 67 au vert. Les trois autres sont connues : deux sauvegardes sans donnee a emporter, et Loki en delai de stabilisation apres redeploiement. make prouver : CONFORME, 64 OK, 0 echec, 0 saute. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q		2026-09-10 03:47:03 -04:00
..
defaults	sondes : les cinq qui manquaient le plus (autorite, base, annuaire, zones, edge)	2026-09-10 03:47:03 -04:00
handlers	Rendre le dry-run (--check) fiable sur les rôles applicatifs	2026-07-01 21:01:53 -04:00
meta	sondes : les cinq qui manquaient le plus (autorite, base, annuaire, zones, edge)	2026-09-10 03:47:03 -04:00
tasks	sondes : les cinq qui manquaient le plus (autorite, base, annuaire, zones, edge)	2026-09-10 03:47:03 -04:00
templates	sondes : les cinq qui manquaient le plus (autorite, base, annuaire, zones, edge)	2026-09-10 03:47:03 -04:00
README.md	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00

README.md

serveur_nginx

Installe et configure nginx comme edge interne : reverse proxy et terminaison TLS.

Rôle

Installe nginx et ssl-cert (certificat auto-signé).
Durcissement de base via conf.d/99-setops.conf (server_tokens off, TLS 1.2/1.3, taille de corps).
Publie des sites de reverse proxy déclarés dans serveur_nginx_sites (vide par défaut).
Valide la configuration (nginx -t) avant de recharger (handler Valider et recharger nginx).

TLS

Par défaut, certificat auto-signé Debian (snakeoil) — l'edge répond en HTTPS dès l'installation.
serveur_nginx_certificat / serveur_nginx_cle (ou par site) permettent de basculer vers les certificats de l'AC interne / ACME quand serveur_step_ca existera.

Variables principales

Variable	Défaut	Rôle
`serveur_nginx_certificat` / `_cle`	snakeoil	Certificat TLS par défaut
`serveur_nginx_ssl_protocols`	`TLSv1.2 TLSv1.3`	Protocoles TLS
`serveur_nginx_server_tokens`	`off`	Masque la version
`serveur_nginx_taille_max_corps`	`16m`	`client_max_body_size`
`serveur_nginx_redirection_http`	`true`	Redirige 80 → 443
`serveur_nginx_desactiver_defaut`	`false`	Retire le site Debian par défaut
`serveur_nginx_sites`	`[]`	Sites reverse proxy

Déclarer un site

serveur_nginx_sites:
  - nom: forge
    domaine: forge.exemple.internal
    amont: "http://10.0.15.11:3000"
    # certificat / cle optionnels (sinon snakeoil)

Hors périmètre

WAF (ModSecurity) — lift externe, à traiter dans une phase dédiée.
Émission automatique des certificats (dépend de serveur_step_ca).