[FIX] nixos : afficher le guide de connexion, appliquer la locale

Le déploiement écrit /etc/motd partout et compte sur pam_motd pour le
montrer — vrai des quatre images cloud, faux ici : sshd rend « printmotd
no » et le PAM n'en contient aucun. Le guide était écrit, complet, et
personne ne le lisait. Il gagne un bloc propre à NixOS, dont le piège
qu'il existe pour dire — /etc/nixos/erplibre.nix est réécrit par
« make install_os », et ce qu'on y ajoute disparaît sans un mot.

La locale demandée ne s'appliquait pas : cloud-init passe par locale-gen
et update-locale, absents ici. Mesuré — fr_CA demandé, en_US obtenu. Rien
n'est imposé à une NixOS qu'on avait déjà.

--- EN ---

Deployment writes /etc/motd everywhere and relies on pam_motd to show it —
true of the four cloud images, false here: sshd returns "printmotd no" and
the PAM stack holds none. The guide was written, complete, and nobody read
it. It gains a NixOS block, including the trap it exists to name —
/etc/nixos/erplibre.nix is rewritten by "make install_os", and what you
add there vanishes without a word.

The requested locale did not apply: cloud-init goes through locale-gen and
update-locale, absent here. Measured — fr_CA asked, en_US obtained.
Nothing is imposed on a NixOS one already had.

Assisted-by: Claude Opus 5

CHANGELOG.base.md

@@ -77,6 +77,8 @@ au [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 - A `nix + nixos-anywhere` option on the OTHER distributions, the reverse of picking NixOS: it leaves an ordinary VM able to install NixOS onto any machine reachable over SSH. Nix is called by absolute path, the remote shell's PATH being frozen before the installer drops the binary, and the flake features are repeated on the command line, writing `nix.conf` needing a sudo that may fail
 - NixOS deploys on a **Proxmox** host as it does on QEMU/KVM, which took three fixes no code reading could have found. Its image has no BIOS boot sector: a VM created in SeaBIOS reports « running » with a silent console, so the catalogue now marks which images need UEFI — one marker per distribution, since Debian 13 boots in SeaBIOS on that same host. `--ciuser` and `--sshkeys` defer to the image's DEFAULT account, which NixOS declares as another name: the repository's own cloud-config now travels as a snippet for every distribution, carrying an explicit `users:` block. And the cloud-init drive moves to the SCSI bus — an image built for virtio alone has no ATA driver and never sees an IDE drive, so cloud-init hunted network datasources and the VM came up with no account at all. Checked end to end: NixOS answers with `/bin/sh`, Debian 13 with `/bin/bash`, sudo on both
 - The third-party image is verified against the sum the repository pins for it on the Proxmox path too, where a bare `wget` used to be enough. One accessor carries that sum for both paths, and the check runs even on a cached image — the case aimed at is a file substituted or truncated between deployments, which a presence test cannot see
+- One entry of the download cache can be removed, by URL. A checksum that does not match invalidated nothing: the store kept serving the same bytes, and re-downloading changed nothing since the store is what answers. Neither existing purge reaches it — `--purge` erases everything, and `--purge-older-than` skips what is recent while every service resets that date, so a poisoned object that keeps being served never ages. `--oublie` is symmetric to `--detient`: same input lines, same key functions, same refusals, and a present object that resists is reported as a refusal rather than a forget. Both checksum failures now name it, with the exact URL
+- The install log carries what the host decided before launching: the download cache authority placed or refused, the bypass, the mirror. Those lines were said on a console that scrolls away, while the file reopened after a failure held only the symptom — on a guest with no trust store, a refused certificate, hundreds of derivations to build and six hundred lines of errors, without a word on the cause
 
 <!-- [fr] -->
 
@@ -126,6 +128,8 @@ au [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 - Une option `nix + nixos-anywhere` sur les AUTRES distributions, l'inverse de choisir NixOS : elle laisse une VM ordinaire capable d'installer NixOS sur toute machine joignable en SSH. Nix est appelé par son chemin absolu, le PATH du shell distant étant figé avant que l'installateur ne pose le binaire, et les fonctions des flakes sont redonnées sur la ligne de commande, l'écriture de `nix.conf` réclamant un sudo qui peut manquer
 - NixOS se déploie sur un hôte **Proxmox** comme sur QEMU/KVM, ce qui a demandé trois correctifs qu'aucune lecture de code n'aurait trouvés. Son image n'a pas de secteur d'amorçage BIOS : une VM créée en SeaBIOS se déclare « running » avec une console muette, donc le catalogue marque désormais les images qui exigent l'UEFI — un marqueur par distribution, Debian 13 démarrant en SeaBIOS sur ce même hôte. `--ciuser` et `--sshkeys` s'en remettent au compte par DÉFAUT de l'image, que NixOS nomme autrement : le cloud-config du dépôt part maintenant comme extrait pour toutes les distributions, avec son bloc `users:` explicite. Et le lecteur cloud-init passe sur le bus SCSI — une image bâtie pour virtio seul n'a pas de pilote ATA et ne voit jamais un lecteur IDE, si bien que cloud-init cherchait des sources réseau et que la VM arrivait sans aucun compte. Vérifié de bout en bout : NixOS rend `/bin/sh`, Debian 13 `/bin/bash`, sudo aux deux
 - L'image tierce est vérifiée contre la somme que le dépôt épingle pour elle sur le chemin Proxmox aussi, où un `wget` nu suffisait. Un seul accesseur porte cette somme pour les deux chemins, et le contrôle vaut même pour une image déjà en cache — le cas visé est un fichier substitué ou tronqué entre deux déploiements, qu'un test de présence ne voit pas
+- Une entrée du cache de téléchargement peut être retirée, par son URL. Une somme qui ne correspond pas n'invalidait rien : le magasin continuait de servir les mêmes octets, et retélécharger ne changeait rien puisque c'est lui qui répond. Aucune des deux purges ne l'atteint — `--purge` efface tout, et `--purge-older-than` saute ce qui est récent alors que chaque service remet cette date, si bien qu'un objet empoisonné qui sert ne vieillit jamais. `--oublie` est le symétrique de `--detient` : mêmes lignes en entrée, mêmes fonctions de clé, mêmes refus, et un objet présent qui résiste est dit refusé plutôt qu'oublié. Les deux échecs de somme le nomment désormais, avec l'URL exacte
+- Le journal d'installation porte ce que l'hôte a décidé avant de lancer : l'autorité du cache de téléchargement posée ou refusée, l'exception, le miroir. Ces lignes se disaient sur une console qui défile, pendant que le fichier qu'on rouvre après un échec ne portait que le symptôme — sur un invité sans magasin de confiance, un certificat refusé, des centaines de dérivations à construire et six cents lignes d'erreurs, sans un mot sur la cause
 
 <!-- [en] -->
 ## Changed
@@ -206,6 +210,13 @@ au [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 - The timezone a deployed VM inherits from its host is translated to its canonical name. Ubuntu 24.04 cloud images no longer carry the legacy aliases — `Canada/*`, `US/*`, `Asia/Calcutta` — moved to a `tzdata-legacy` package they do not install: cloud-init refused the zone, the VM stayed on UTC, and the only sign was cloud-init reporting an error, the offset showing up in timestamps long afterwards. The alias table is the host's own `tzdata.zi`, not a copy kept in the code
 - `make` looks for bash instead of assuming `/bin/bash`. That path does not exist on NixOS, where the shell lives in the store, and make stopped before running any recipe — including the one that installs what creates that path. Elsewhere the resolved shell is the same one as before
 - The locale and the keyboard a deployed VM is given now apply on Debian, where both silently failed. A locale is generated from `/etc/locale.gen` and nowhere else, so `update-locale` refused one that was not there and the VM stayed on C.UTF-8; the keyboard module ends on a `console-setup` the genericcloud image does not carry, so `/etc/default/keyboard` — the file localed and X read — is written directly instead. Every Debian deployment used to print `cloud-init: status: error`, and a word that always shows warns of nothing
+- A guest with no per-file trust anchor is taken out of the download cache instead of being intercepted without one. Interception is transparent and covers the whole bridge, so a VM given no authority still fails every HTTPS download on « self-signed certificate in certificate chain » — and on a declarative system placing the authority comes too late, the first rebuild being the first download. On a Proxmox host it is the HOST that is exempted: a nested guest leaves masqueraded behind it and the bridge never sees its own address. Measured from inside the guest: code 000 and SSL verification 19, then 200 and 0. Without it the package manager fell back to building 564 derivations, whose sources failed for the same reason
+- Odoo answers from outside a NixOS VM. It listened on 0.0.0.0:8069 and replied locally, but NixOS enables a firewall by default where none of the four other cloud images does: the host received nothing — not a refusal, silence until the timeout — and the monitor declared Odoo absent on a machine where it was running. Measured from the host: 000 after 12 s, then 303 in 9 ms
+- ERPLibre runs as a service on NixOS. The install ended by writing a unit into `/etc/systemd/system`, generated from the store and mounted read-only: it returned 1 at its last step, after the clone, the venv and an Odoo start had all succeeded. The unit is now declared by the module; its interpreter comes from the store, `/bin` being an envfs FUSE mount that systemd does not see when it resolves the executable; and its PATH carries bash, whose absence stopped `run.sh` before Odoo
+- What a declarative system must declare, and the four others receive free from their cloud image: xmlsec1, without which Odoo refuses to install auth_saml, a module of the addons path; parallel and shfmt, called by bare name; growpart, absent from the whole system while the disk grow is written « … || true » and returned 0 without growing anything; and the guest agent, which came from the image rather than the repository, its unit PATH lacking findmnt so that guest-exec died with 127 on its first line
+- The connection guide is displayed on NixOS. Deployment writes `/etc/motd` everywhere and relies on pam_motd to show it — true of the four cloud images, false here, where sshd reports « printmotd no » and the PAM stack holds no pam_motd: the guide was written, complete, and nobody read it. It also gains a NixOS block naming the trap it exists for — `/etc/nixos/erplibre.nix` is rewritten by `make install_os`, and declarations added there vanish without a word
+- « make db_drop_all » no longer announces databases as dropped that were not. It built a parallel command, discarded its exit status and printed the list; the case is reachable as soon as parallel is missing from the PATH, and the operator moves on believing their databases are gone
+- A download cache mirror refused for lack of space names its threshold and its measurement. It echoed a field every ordinary caller leaves at zero — « less than 0 B free on disk » announces no threshold and does not say what was measured
 
 <!-- [fr] -->
 
@@ -250,6 +261,13 @@ au [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 - Le fuseau horaire qu'une VM déployée hérite de son hôte est traduit en son nom canonique. Les images cloud d'Ubuntu 24.04 ne portent plus les alias historiques — `Canada/*`, `US/*`, `Asia/Calcutta` — déplacés dans un paquet `tzdata-legacy` qu'elles n'installent pas : cloud-init refusait le fuseau, la VM restait en UTC, et le seul signe était un cloud-init en erreur, le décalage n'apparaissant qu'aux horodatages longtemps après. La table des alias est le `tzdata.zi` de l'hôte, et non une copie figée dans le code
 - `make` cherche bash au lieu de présumer `/bin/bash`. Ce chemin n'existe pas sur NixOS, où le shell vit dans le store, et make s'arrêtait avant d'exécuter la moindre recette — y compris celle qui installe de quoi créer ce chemin. Ailleurs, le shell résolu est celui d'avant
 - Le locale et le clavier qu'une VM déployée reçoit s'appliquent désormais sur Debian, où les deux échouaient en silence. Un locale se génère à partir de `/etc/locale.gen` et de nulle part ailleurs : `update-locale` refusait celui qui n'y était pas et la VM restait en C.UTF-8 ; le module clavier finit par un `console-setup` que l'image genericcloud ne porte pas, alors `/etc/default/keyboard` — le fichier que localed et X relisent — est écrit directement. Chaque déploiement Debian imprimait `cloud-init: status: error`, et un mot qui s'affiche toujours n'avertit plus de rien
+- Un invité sans ancre de confiance par fichier est soustrait au cache de téléchargement plutôt qu'intercepté sans elle. Le détournement est transparent et vaut pour tout le pont : une VM à qui l'on ne donne pas l'autorité échoue quand même sur « self-signed certificate in certificate chain » — et sur un système déclaratif, poser l'autorité arrive trop tard, la première reconstruction étant le premier téléchargement. Sur un hôte Proxmox, c'est l'HÔTE qui est excepté : un invité imbriqué sort masqué derrière lui et le pont ne voit jamais sa propre adresse. Mesuré depuis l'invité : code 000 et vérification SSL 19, puis 200 et 0. Sans cela le gestionnaire de paquets se rabattait sur 564 dérivations à construire, dont les sources échouaient pour la même raison
+- Odoo répond depuis l'extérieur d'une VM NixOS. Il écoutait sur 0.0.0.0:8069 et répondait en local, mais NixOS active un pare-feu par défaut là où aucune des quatre autres images cloud n'en active : l'hôte ne recevait rien — pas un refus, un silence jusqu'au délai — et le suivi déclarait Odoo absent sur une machine où il tournait. Mesuré depuis l'hôte : 000 après 12 s, puis 303 en 9 ms
+- ERPLibre tourne comme service sur NixOS. L'installation finissait par écrire une unité dans `/etc/systemd/system`, généré depuis le store et monté en lecture seule : elle rendait 1 à sa dernière étape, après que le clone, le venv et un démarrage d'Odoo avaient tous réussi. L'unité est désormais déclarée par le module ; son interpréteur vient du store, `/bin` étant un montage FUSE d'envfs que systemd ne voit pas quand il résout l'exécutable ; et son PATH porte bash, dont l'absence arrêtait `run.sh` avant Odoo
+- Ce qu'un système déclaratif doit déclarer, et que les quatre autres reçoivent gratuitement de leur image cloud : xmlsec1, sans lequel Odoo refuse d'installer auth_saml, module du chemin des addons ; parallel et shfmt, appelés par leur nom nu ; growpart, absent de tout le système alors que l'agrandissement du disque s'écrit « … || true » et rendait 0 sans rien agrandir ; et l'agent invité, qui venait de l'image et non du dépôt, le PATH de son unité manquant findmnt si bien que guest-exec mourait en 127 dès sa première ligne
+- Le guide de connexion s'affiche sur NixOS. Le déploiement écrit `/etc/motd` partout et compte sur pam_motd pour le montrer — vrai des quatre images cloud, faux ici, où sshd rend « printmotd no » et où la pile PAM ne contient aucun pam_motd : le guide était écrit, complet, et personne ne le lisait. Il gagne aussi un bloc propre à NixOS, qui nomme le piège pour lequel il existe — `/etc/nixos/erplibre.nix` est réécrit par `make install_os`, et les déclarations qu'on y ajoute disparaissent sans un mot
+- « make db_drop_all » n'annonce plus détruites des bases qui ne le sont pas. Il composait une commande parallel, jetait son code de retour et imprimait la liste ; le cas s'atteint dès que parallel manque du PATH, et l'opérateur passe à la suite en croyant ses bases parties
+- Un miroir du cache de téléchargement refusé faute de place nomme son seuil et sa mesure. Il reprenait un champ que tout appelant ordinaire laisse à zéro — « moins de 0 o libres sur le disque » n'annonce aucun seuil et ne dit pas ce qui a été mesuré
 
 <!-- [en] -->
 ## Removed

CHANGELOG.fr.md

@@ -57,6 +57,8 @@ au [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 - Une option `nix + nixos-anywhere` sur les AUTRES distributions, l'inverse de choisir NixOS : elle laisse une VM ordinaire capable d'installer NixOS sur toute machine joignable en SSH. Nix est appelé par son chemin absolu, le PATH du shell distant étant figé avant que l'installateur ne pose le binaire, et les fonctions des flakes sont redonnées sur la ligne de commande, l'écriture de `nix.conf` réclamant un sudo qui peut manquer
 - NixOS se déploie sur un hôte **Proxmox** comme sur QEMU/KVM, ce qui a demandé trois correctifs qu'aucune lecture de code n'aurait trouvés. Son image n'a pas de secteur d'amorçage BIOS : une VM créée en SeaBIOS se déclare « running » avec une console muette, donc le catalogue marque désormais les images qui exigent l'UEFI — un marqueur par distribution, Debian 13 démarrant en SeaBIOS sur ce même hôte. `--ciuser` et `--sshkeys` s'en remettent au compte par DÉFAUT de l'image, que NixOS nomme autrement : le cloud-config du dépôt part maintenant comme extrait pour toutes les distributions, avec son bloc `users:` explicite. Et le lecteur cloud-init passe sur le bus SCSI — une image bâtie pour virtio seul n'a pas de pilote ATA et ne voit jamais un lecteur IDE, si bien que cloud-init cherchait des sources réseau et que la VM arrivait sans aucun compte. Vérifié de bout en bout : NixOS rend `/bin/sh`, Debian 13 `/bin/bash`, sudo aux deux
 - L'image tierce est vérifiée contre la somme que le dépôt épingle pour elle sur le chemin Proxmox aussi, où un `wget` nu suffisait. Un seul accesseur porte cette somme pour les deux chemins, et le contrôle vaut même pour une image déjà en cache — le cas visé est un fichier substitué ou tronqué entre deux déploiements, qu'un test de présence ne voit pas
+- Une entrée du cache de téléchargement peut être retirée, par son URL. Une somme qui ne correspond pas n'invalidait rien : le magasin continuait de servir les mêmes octets, et retélécharger ne changeait rien puisque c'est lui qui répond. Aucune des deux purges ne l'atteint — `--purge` efface tout, et `--purge-older-than` saute ce qui est récent alors que chaque service remet cette date, si bien qu'un objet empoisonné qui sert ne vieillit jamais. `--oublie` est le symétrique de `--detient` : mêmes lignes en entrée, mêmes fonctions de clé, mêmes refus, et un objet présent qui résiste est dit refusé plutôt qu'oublié. Les deux échecs de somme le nomment désormais, avec l'URL exacte
+- Le journal d'installation porte ce que l'hôte a décidé avant de lancer : l'autorité du cache de téléchargement posée ou refusée, l'exception, le miroir. Ces lignes se disaient sur une console qui défile, pendant que le fichier qu'on rouvre après un échec ne portait que le symptôme — sur un invité sans magasin de confiance, un certificat refusé, des centaines de dérivations à construire et six cents lignes d'erreurs, sans un mot sur la cause
 
 ## Modifié
 
@@ -115,6 +117,13 @@ au [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 - Le fuseau horaire qu'une VM déployée hérite de son hôte est traduit en son nom canonique. Les images cloud d'Ubuntu 24.04 ne portent plus les alias historiques — `Canada/*`, `US/*`, `Asia/Calcutta` — déplacés dans un paquet `tzdata-legacy` qu'elles n'installent pas : cloud-init refusait le fuseau, la VM restait en UTC, et le seul signe était un cloud-init en erreur, le décalage n'apparaissant qu'aux horodatages longtemps après. La table des alias est le `tzdata.zi` de l'hôte, et non une copie figée dans le code
 - `make` cherche bash au lieu de présumer `/bin/bash`. Ce chemin n'existe pas sur NixOS, où le shell vit dans le store, et make s'arrêtait avant d'exécuter la moindre recette — y compris celle qui installe de quoi créer ce chemin. Ailleurs, le shell résolu est celui d'avant
 - Le locale et le clavier qu'une VM déployée reçoit s'appliquent désormais sur Debian, où les deux échouaient en silence. Un locale se génère à partir de `/etc/locale.gen` et de nulle part ailleurs : `update-locale` refusait celui qui n'y était pas et la VM restait en C.UTF-8 ; le module clavier finit par un `console-setup` que l'image genericcloud ne porte pas, alors `/etc/default/keyboard` — le fichier que localed et X relisent — est écrit directement. Chaque déploiement Debian imprimait `cloud-init: status: error`, et un mot qui s'affiche toujours n'avertit plus de rien
+- Un invité sans ancre de confiance par fichier est soustrait au cache de téléchargement plutôt qu'intercepté sans elle. Le détournement est transparent et vaut pour tout le pont : une VM à qui l'on ne donne pas l'autorité échoue quand même sur « self-signed certificate in certificate chain » — et sur un système déclaratif, poser l'autorité arrive trop tard, la première reconstruction étant le premier téléchargement. Sur un hôte Proxmox, c'est l'HÔTE qui est excepté : un invité imbriqué sort masqué derrière lui et le pont ne voit jamais sa propre adresse. Mesuré depuis l'invité : code 000 et vérification SSL 19, puis 200 et 0. Sans cela le gestionnaire de paquets se rabattait sur 564 dérivations à construire, dont les sources échouaient pour la même raison
+- Odoo répond depuis l'extérieur d'une VM NixOS. Il écoutait sur 0.0.0.0:8069 et répondait en local, mais NixOS active un pare-feu par défaut là où aucune des quatre autres images cloud n'en active : l'hôte ne recevait rien — pas un refus, un silence jusqu'au délai — et le suivi déclarait Odoo absent sur une machine où il tournait. Mesuré depuis l'hôte : 000 après 12 s, puis 303 en 9 ms
+- ERPLibre tourne comme service sur NixOS. L'installation finissait par écrire une unité dans `/etc/systemd/system`, généré depuis le store et monté en lecture seule : elle rendait 1 à sa dernière étape, après que le clone, le venv et un démarrage d'Odoo avaient tous réussi. L'unité est désormais déclarée par le module ; son interpréteur vient du store, `/bin` étant un montage FUSE d'envfs que systemd ne voit pas quand il résout l'exécutable ; et son PATH porte bash, dont l'absence arrêtait `run.sh` avant Odoo
+- Ce qu'un système déclaratif doit déclarer, et que les quatre autres reçoivent gratuitement de leur image cloud : xmlsec1, sans lequel Odoo refuse d'installer auth_saml, module du chemin des addons ; parallel et shfmt, appelés par leur nom nu ; growpart, absent de tout le système alors que l'agrandissement du disque s'écrit « … || true » et rendait 0 sans rien agrandir ; et l'agent invité, qui venait de l'image et non du dépôt, le PATH de son unité manquant findmnt si bien que guest-exec mourait en 127 dès sa première ligne
+- Le guide de connexion s'affiche sur NixOS. Le déploiement écrit `/etc/motd` partout et compte sur pam_motd pour le montrer — vrai des quatre images cloud, faux ici, où sshd rend « printmotd no » et où la pile PAM ne contient aucun pam_motd : le guide était écrit, complet, et personne ne le lisait. Il gagne aussi un bloc propre à NixOS, qui nomme le piège pour lequel il existe — `/etc/nixos/erplibre.nix` est réécrit par `make install_os`, et les déclarations qu'on y ajoute disparaissent sans un mot
+- « make db_drop_all » n'annonce plus détruites des bases qui ne le sont pas. Il composait une commande parallel, jetait son code de retour et imprimait la liste ; le cas s'atteint dès que parallel manque du PATH, et l'opérateur passe à la suite en croyant ses bases parties
+- Un miroir du cache de téléchargement refusé faute de place nomme son seuil et sa mesure. Il reprenait un champ que tout appelant ordinaire laisse à zéro — « moins de 0 o libres sur le disque » n'annonce aucun seuil et ne dit pas ce qui a été mesuré
 
 ## Retiré
 

CHANGELOG.md

@@ -57,6 +57,8 @@ to [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 - A `nix + nixos-anywhere` option on the OTHER distributions, the reverse of picking NixOS: it leaves an ordinary VM able to install NixOS onto any machine reachable over SSH. Nix is called by absolute path, the remote shell's PATH being frozen before the installer drops the binary, and the flake features are repeated on the command line, writing `nix.conf` needing a sudo that may fail
 - NixOS deploys on a **Proxmox** host as it does on QEMU/KVM, which took three fixes no code reading could have found. Its image has no BIOS boot sector: a VM created in SeaBIOS reports « running » with a silent console, so the catalogue now marks which images need UEFI — one marker per distribution, since Debian 13 boots in SeaBIOS on that same host. `--ciuser` and `--sshkeys` defer to the image's DEFAULT account, which NixOS declares as another name: the repository's own cloud-config now travels as a snippet for every distribution, carrying an explicit `users:` block. And the cloud-init drive moves to the SCSI bus — an image built for virtio alone has no ATA driver and never sees an IDE drive, so cloud-init hunted network datasources and the VM came up with no account at all. Checked end to end: NixOS answers with `/bin/sh`, Debian 13 with `/bin/bash`, sudo on both
 - The third-party image is verified against the sum the repository pins for it on the Proxmox path too, where a bare `wget` used to be enough. One accessor carries that sum for both paths, and the check runs even on a cached image — the case aimed at is a file substituted or truncated between deployments, which a presence test cannot see
+- One entry of the download cache can be removed, by URL. A checksum that does not match invalidated nothing: the store kept serving the same bytes, and re-downloading changed nothing since the store is what answers. Neither existing purge reaches it — `--purge` erases everything, and `--purge-older-than` skips what is recent while every service resets that date, so a poisoned object that keeps being served never ages. `--oublie` is symmetric to `--detient`: same input lines, same key functions, same refusals, and a present object that resists is reported as a refusal rather than a forget. Both checksum failures now name it, with the exact URL
+- The install log carries what the host decided before launching: the download cache authority placed or refused, the bypass, the mirror. Those lines were said on a console that scrolls away, while the file reopened after a failure held only the symptom — on a guest with no trust store, a refused certificate, hundreds of derivations to build and six hundred lines of errors, without a word on the cause
 
 ## Changed
 
@@ -115,6 +117,13 @@ to [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 - The timezone a deployed VM inherits from its host is translated to its canonical name. Ubuntu 24.04 cloud images no longer carry the legacy aliases — `Canada/*`, `US/*`, `Asia/Calcutta` — moved to a `tzdata-legacy` package they do not install: cloud-init refused the zone, the VM stayed on UTC, and the only sign was cloud-init reporting an error, the offset showing up in timestamps long afterwards. The alias table is the host's own `tzdata.zi`, not a copy kept in the code
 - `make` looks for bash instead of assuming `/bin/bash`. That path does not exist on NixOS, where the shell lives in the store, and make stopped before running any recipe — including the one that installs what creates that path. Elsewhere the resolved shell is the same one as before
 - The locale and the keyboard a deployed VM is given now apply on Debian, where both silently failed. A locale is generated from `/etc/locale.gen` and nowhere else, so `update-locale` refused one that was not there and the VM stayed on C.UTF-8; the keyboard module ends on a `console-setup` the genericcloud image does not carry, so `/etc/default/keyboard` — the file localed and X read — is written directly instead. Every Debian deployment used to print `cloud-init: status: error`, and a word that always shows warns of nothing
+- A guest with no per-file trust anchor is taken out of the download cache instead of being intercepted without one. Interception is transparent and covers the whole bridge, so a VM given no authority still fails every HTTPS download on « self-signed certificate in certificate chain » — and on a declarative system placing the authority comes too late, the first rebuild being the first download. On a Proxmox host it is the HOST that is exempted: a nested guest leaves masqueraded behind it and the bridge never sees its own address. Measured from inside the guest: code 000 and SSL verification 19, then 200 and 0. Without it the package manager fell back to building 564 derivations, whose sources failed for the same reason
+- Odoo answers from outside a NixOS VM. It listened on 0.0.0.0:8069 and replied locally, but NixOS enables a firewall by default where none of the four other cloud images does: the host received nothing — not a refusal, silence until the timeout — and the monitor declared Odoo absent on a machine where it was running. Measured from the host: 000 after 12 s, then 303 in 9 ms
+- ERPLibre runs as a service on NixOS. The install ended by writing a unit into `/etc/systemd/system`, generated from the store and mounted read-only: it returned 1 at its last step, after the clone, the venv and an Odoo start had all succeeded. The unit is now declared by the module; its interpreter comes from the store, `/bin` being an envfs FUSE mount that systemd does not see when it resolves the executable; and its PATH carries bash, whose absence stopped `run.sh` before Odoo
+- What a declarative system must declare, and the four others receive free from their cloud image: xmlsec1, without which Odoo refuses to install auth_saml, a module of the addons path; parallel and shfmt, called by bare name; growpart, absent from the whole system while the disk grow is written « … || true » and returned 0 without growing anything; and the guest agent, which came from the image rather than the repository, its unit PATH lacking findmnt so that guest-exec died with 127 on its first line
+- The connection guide is displayed on NixOS. Deployment writes `/etc/motd` everywhere and relies on pam_motd to show it — true of the four cloud images, false here, where sshd reports « printmotd no » and the PAM stack holds no pam_motd: the guide was written, complete, and nobody read it. It also gains a NixOS block naming the trap it exists for — `/etc/nixos/erplibre.nix` is rewritten by `make install_os`, and declarations added there vanish without a word
+- « make db_drop_all » no longer announces databases as dropped that were not. It built a parallel command, discarded its exit status and printed the list; the case is reachable as soon as parallel is missing from the PATH, and the operator moves on believing their databases are gone
+- A download cache mirror refused for lack of space names its threshold and its measurement. It echoed a field every ordinary caller leaves at zero — « less than 0 B free on disk » announces no threshold and does not say what was measured
 
 ## Removed
 

conf/nixos/erplibre.nix

@@ -196,6 +196,45 @@
     PKG_CONFIG_PATH = "/run/current-system/sw/lib/pkgconfig";
   };
 
+  # Les réglages régionaux demandés au déploiement.
+  #
+  # Le FUSEAU marche déjà sans cela : cloud-init pose /etc/localtime, que
+  # NixOS laisse mutable tant que « time.timeZone » n'est pas déclaré.
+  # Mesuré sur une VM installée — le lien pointe bien la zone demandée. Le
+  # déclarer ne répare donc rien ; il fait passer la garantie du côté du
+  # module, comme pour l'agent invité.
+  #
+  # La LOCALE, elle, ne marchait pas : cloud-init l'applique par locale-gen
+  # et update-locale, qui n'existent pas ici, et la VM gardait le défaut de
+  # NixOS. Mesuré : « fr_CA.UTF-8 » demandé, « en_US.UTF-8 » obtenu.
+  #
+  # « mkIf » plutôt qu'une valeur de repli : sur une machine où rien n'a été
+  # demandé — une NixOS que l'on avait déjà, installée par « --hote » —
+  # l'option n'est PAS définie, et le réglage de son propriétaire reste.
+  # Écrire un défaut ici l'écraserait sans le dire.
+  #
+  # CE QUE CELA COÛTE, mesuré : une locale autre que celle du défaut change
+  # l'ensemble des locales prises en charge, donc la dérivation de
+  # glibc-locales, qui n'est alors pas dans le cache binaire et se BÂTIT. La
+  # première reconstruction est longue, et silencieuse — il vaut mieux le
+  # savoir que de la prendre pour un blocage.
+  i18n.defaultLocale = lib.mkIf ("@EL_LOCALE@" != "") "@EL_LOCALE@";
+  time.timeZone = lib.mkIf ("@EL_TZ@" != "") "@EL_TZ@";
+
+  # Le guide de connexion, AFFICHÉ.
+  #
+  # Le déploiement écrit /etc/motd dans toutes les distributions, et compte
+  # sur pam_motd pour le montrer — c'est vrai des quatre images cloud, où
+  # sshd est en « PrintMotd no » et où ajouter l'inverse afficherait le guide
+  # DEUX FOIS. Ici, ni l'un ni l'autre : mesuré sur une VM installée, sshd
+  # rend « printmotd no » et /etc/pam.d/sshd ne contient AUCUN pam_motd. Le
+  # fichier est donc écrit, complet, et personne ne le lit.
+  #
+  # sshd et non pam_motd : le double affichage qu'on redoute ailleurs ne peut
+  # pas se produire tant que le PAM d'ici n'en contient pas, et c'est le seul
+  # des deux qui ne demande rien de plus que cette ligne.
+  services.openssh.settings.PrintMotd = true;
+
   # L'agent invité, DÉCLARÉ ici plutôt que reçu de l'image.
   #
   # L'image épinglée l'active déjà (son configuration.nix porte la ligne), et

script/install/install_nixos_dependency.sh

@@ -22,6 +22,16 @@ EL_USER=${USER}
 # service doit lancer. Deviner « /home/$USER/git/erplibre » se tromperait sur
 # une installation de production, qui vit sous /opt.
 EL_DIR=${EL_DIR:-${PWD}}
+# Les réglages régionaux que le DÉPLOIEMENT a demandés, lus là où cloud-init
+# garde ce qu'il a reçu. Vides quand rien ne les a demandés — une NixOS que
+# l'on avait déjà —, et le module laisse alors les réglages en place.
+EL_CLOUD_CFG=/var/lib/cloud/instance/cloud-config.txt
+lire_seed() {
+  sudo grep -m1 -E "^${1}: " "${EL_CLOUD_CFG}" 2>/dev/null |
+    cut -d" " -f2- | tr -d "\r" || true
+}
+EL_LOCALE=${EL_LOCALE:-$(lire_seed locale)}
+EL_TZ=${EL_TZ:-$(lire_seed timezone)}
 MODULE_SRC="conf/nixos/erplibre.nix"
 MODULE_DST="/etc/nixos/erplibre.nix"
 CONFIG="/etc/nixos/configuration.nix"
@@ -40,8 +50,11 @@ echo -e "\n---- Module ERPLibre pour NixOS ----"
 # Le nom du compte est substitué comme le user-data cloud-init l'est : le
 # module déclare un rôle PostgreSQL, et un rôle porte un nom.
 sed -e "s/@EL_USER@/${EL_USER}/g" -e "s#@EL_DIR@#${EL_DIR}#g" \
+  -e "s/@EL_LOCALE@/${EL_LOCALE}/g" -e "s#@EL_TZ@#${EL_TZ}#g" \
   "${MODULE_SRC}" | sudo tee "${MODULE_DST}" > /dev/null
 echo "  posé : ${MODULE_DST} (compte ${EL_USER}, dépôt ${EL_DIR})"
+echo "  régional : locale « ${EL_LOCALE:-non demandée} »," \
+  "fuseau « ${EL_TZ:-non demandé} »"
 
 if [ ! -f "${CONFIG}" ]; then
   echo "Configuration introuvable : ${CONFIG}"

script/qemu/deploy_qemu.py

@@ -2262,6 +2262,42 @@ AUR_GUIDE: tuple[tuple[str, str, str], ...] = (
 )
 
 
+# Ce que NixOS change pour ERPLibre, et qu'aucune autre distribution ne
+# demande.
+#
+# Le piège est la deuxième ligne : /etc/nixos/erplibre.nix est RÉÉCRIT à
+# chaque « make install_os » — le script le pose par « sed | tee » depuis le
+# dépôt. Ce qu'on y ajoute disparaît à la mise à jour suivante, sans un mot,
+# et l'on cherche alors pourquoi une dépendance déclarée ne l'est plus. Le
+# fichier où l'on écrit SES déclarations est l'autre.
+#
+# « systemctl cat » plutôt qu'une ligne disant de ne pas faire : l'unité est
+# un lien vers le store, et la voir une fois dit mieux que toute explication
+# pourquoi « systemctl enable » n'a rien à faire ici.
+NIXOS_GUIDE: tuple[tuple[str, str, str], ...] = (
+    (
+        "conf/nixos/erplibre.nix",
+        "la déclaration d'ERPLibre, dans le dépôt",
+        "ERPLibre's declaration, in the repository",
+    ),
+    (
+        "/etc/nixos/erplibre.nix",
+        "sa copie — RÉÉCRITE par make install_os",
+        "its copy — REWRITTEN by make install_os",
+    ),
+    (
+        "/etc/nixos/configuration.nix",
+        "vos déclarations à vous, qui restent",
+        "your own declarations, which do stay",
+    ),
+    (
+        "systemctl cat erplibre",
+        "l'unité vient du store, pas de /etc",
+        "the unit comes from the store, not /etc",
+    ),
+)
+
+
 def zypper_guide(rolling: bool) -> tuple[tuple[str, str, str], ...]:
     """Aide-mémoire zypper. `rolling` : Tumbleweed plutôt que Leap.
 
@@ -2478,6 +2514,16 @@ def build_motd(
         body.append("")
         el_rows = erplibre_guide(el_dir, el_make, editor)
         body += motd_block("ERPLibre", el_rows, lang, gloss_col(el_rows))
+    # Même règle que le bloc AUR : il ne paraît qu'avec une installation,
+    # parce que c'est elle qui pose le module dont ces lignes parlent.
+    if mgr == "nix" and el_dir:
+        body.append("")
+        body += motd_block(
+            _pick(("NixOS — déclaratif", "NixOS — declarative"), lang),
+            NIXOS_GUIDE,
+            lang,
+            gloss_col(NIXOS_GUIDE),
+        )
     if desktop:
         body.append("")
         body += motd_block(

test/test_install_nixos.py

@@ -395,6 +395,51 @@ class LAgentInviteVientDuDepot(unittest.TestCase):
                 self.assertIn(paquet, bloc)
 
 
+class LesReglagesRegionauxDemandes(unittest.TestCase):
+    """cloud-init applique la locale par locale-gen et update-locale, qui
+    n'existent pas ici : la VM gardait le défaut de NixOS. Mesuré —
+    « fr_CA.UTF-8 » demandé, « en_US.UTF-8 » obtenu.
+
+    Le fuseau, lui, marchait déjà : cloud-init pose /etc/localtime, que NixOS
+    laisse mutable tant que l'option n'est pas déclarée. Le déclarer ne
+    répare rien, il fait passer la garantie du côté du module.
+    """
+
+    def setUp(self):
+        self.src = MODULE.read_text(encoding="utf-8")
+        self.script = SCRIPT.read_text(encoding="utf-8")
+
+    def test_both_are_declared(self):
+        self.assertIn("i18n.defaultLocale", self.src)
+        self.assertIn("time.timeZone", self.src)
+
+    def test_nothing_is_imposed_when_nothing_was_asked(self):
+        """Sur une NixOS que l'on avait déjà — installée par « --hote » —
+        l'option ne doit pas être définie du tout : un défaut écrit ici
+        écraserait le réglage de son propriétaire sans le dire."""
+        for marqueur in ("@EL_LOCALE@", "@EL_TZ@"):
+            with self.subTest(marqueur=marqueur):
+                self.assertIn(f'lib.mkIf ("{marqueur}" != "")', self.src)
+
+    def test_the_values_come_from_what_the_deployment_asked(self):
+        """Lues là où cloud-init garde ce qu'il a reçu, et non devinées."""
+        self.assertIn("cloud-config.txt", self.script)
+        self.assertIn("lire_seed locale", self.script)
+        self.assertIn("lire_seed timezone", self.script)
+
+    def test_both_markers_are_substituted(self):
+        """Un marqueur non substitué partirait tel quel dans /etc/nixos et
+        ferait échouer l'évaluation du module."""
+        for marqueur in ("@EL_LOCALE@", "@EL_TZ@"):
+            with self.subTest(marqueur=marqueur):
+                self.assertIn(marqueur, self.script)
+
+    def test_the_cost_is_written_down(self):
+        """Une reconstruction qui bâtit glibc-locales est longue et muette :
+        prise pour un blocage, elle se fait interrompre."""
+        self.assertIn("glibc-locales", self.src)
+
+
 class LePortDOdooTraverseLePareFeu(unittest.TestCase):
     """NixOS active un pare-feu par défaut ; aucune des images cloud des
     quatre autres distributions n'en active un.

test/test_qemu_motd.py

@@ -405,5 +405,61 @@ class TestDesktopBlock(unittest.TestCase):
         self.assertNotIn("Bureau", motd)
 
 
+class LeGuideNixosSeVoitEtDitVrai(unittest.TestCase):
+    """Sur NixOS rien ne lisait /etc/motd — mesuré sur une VM installée :
+    sshd en « printmotd no » et aucun pam_motd dans son PAM. Le fichier était
+    écrit, complet, et personne ne le montrait. Le module le fait afficher ;
+    ces tests gardent ce qu'il montre.
+    """
+
+    def _motd(self, distro="nixos", **kw):
+        return dq.build_motd(
+            distro, "25.11", "amd64", el_dir="~/git/erplibre", **kw
+        )
+
+    def test_the_file_that_gets_rewritten_is_named_as_such(self):
+        """Le piège que ce bloc existe pour dire : « make install_os » repose
+        /etc/nixos/erplibre.nix depuis le dépôt, et ce qu'on y avait ajouté
+        disparaît sans un mot."""
+        motd = self._motd()
+        self.assertIn("/etc/nixos/erplibre.nix", motd)
+        self.assertIn("make install_os", motd)
+
+    def test_where_ones_own_declarations_survive(self):
+        """Un guide qui nomme le piège sans nommer l'issue laisse l'opérateur
+        devant un fichier qu'il n'ose plus toucher."""
+        self.assertIn("/etc/nixos/configuration.nix", self._motd())
+
+    def test_the_source_of_truth_is_the_repository(self):
+        self.assertIn("conf/nixos/erplibre.nix", self._motd())
+
+    def test_the_block_is_translated(self):
+        for lang, attendu in (("fr", "déclaratif"), ("en", "declarative")):
+            with self.subTest(lang=lang):
+                self.assertIn(attendu, self._motd(lang=lang))
+
+    def test_the_other_distributions_are_left_alone(self):
+        """Rien de ceci ne veut dire quoi que ce soit ailleurs."""
+        for distro in ("debian", "ubuntu", "fedora", "arch", "opensuse"):
+            with self.subTest(distro=distro):
+                self.assertNotIn("/etc/nixos/", self._motd(distro))
+
+    def test_a_vm_without_erplibre_says_nothing_of_it(self):
+        """Même règle que le bloc AUR : c'est l'installation qui pose le
+        module dont ces lignes parlent."""
+        nu = dq.build_motd("nixos", "25.11", "amd64")
+        self.assertNotIn("conf/nixos/erplibre.nix", nu)
+
+    def test_the_module_turns_the_display_on(self):
+        """Écrire le guide sans rien pour le lire ne sert personne."""
+        from pathlib import Path
+
+        racine = Path(__file__).resolve().parent.parent
+        module = (racine / "conf/nixos/erplibre.nix").read_text(
+            encoding="utf-8"
+        )
+        self.assertIn("services.openssh.settings.PrintMotd = true;", module)
+
+
 if __name__ == "__main__":
     unittest.main()