État des lieux et chantiers en cours au 30 août 2026 - Documentation technique Kaeyros

Cette section existe pour que vous ne découvriez pas ces sujets par surprise. Ils sont connus, documentés, et font l’objet de chantiers en cours. Cette version v2 étend la liste initiale avec les nouveaux chantiers identifiés sur la sécurité, l’outillage et l’infrastructure.

Chantiers identifiés dans le dépôt (17.1)

Le document de référence est docs/etat-des-lieux.md du dépôt argo-production.

Sujet	Situation	Direction prise
Secrets applicatifs en clair	166 fichiers sur 331 contiennent des variables sensibles en clair ; 6 seulement utilisent Vault	Rotation, provisionnement vault-backend, migration progressive vers externalSecrets
CI d’audit	Deux scripts calculent une racine erronée et n’analysent aucun fichier	Correctif de 2 lignes identifié + code de sortie non nul à ajouter
charts/rollout et Vault	`rollout` v1 échoue au rendu si `externalSecrets` est activé	Rétroporter la garde depuis `rollout-v2`, évite 116 migrations de chart
Ressources et sondes	269 fichiers sur 331 sans `resources`, 328 sur 331 sans sondes	Chantier progressif, commencer par les applications de production à fort trafic
Périmètres hors GitOps	`databases/`, `secrets/`, `traefik.yaml` appliqués à la main	Créer des Applications dédiées pour `databases/` et `secrets/certificates/`
Images non reflétées dans Git	`write-back-method: argocd` partout	Évaluation d’un passage à `write-back-method: git`
Duplication de charts	`init`, `test-init`, `apps` sont des copies historiques d’`antid`	Convergence vers `antid-v2` puis suppression
`databases/vmdo-prod.yaml`	YAML invalide (URI collée au milieu du bloc `volume`)	À corriger et faire tourner le mot de passe exposé

Observations sur l’infrastructure (17.2)

Relevées lors de la rédaction de cette documentation :

Sujet	Situation	Direction prise
Plan de contrôle	Nœud `ubuntu-2404-noble` avec 31 redémarrages de son API server sur 3 jours ; nœud `ubuntu-2204-jammy` récemment reconstruit. Un DaemonSet `kube-proxy` surnuméraire hors dépôt coexiste avec les pods statiques RKE2.	Investigation stabilité, nettoyage du DaemonSet surnuméraire
Certificats	9 validations ACME en attente, dont 8 dans `kaeyros-website` depuis 46 jours	Consultez la page /operations/debloquer-certificat
Observabilité	Conteneur VictoriaLogs `unhealthy` depuis plusieurs jours. L’agent de métriques du cluster a redémarré plusieurs fois.	Diagnostic VictoriaLogs, test de bout en bout de la chaîne d’alerte
Uptime Kuma	L’opérateur tourne et lit les annotations Ingress, mais aucune instance Uptime Kuma n’est en fonctionnement sur le serveur d’outillage	Déployer Uptime Kuma ou supprimer l’opérateur
Wazuh	Le dashboard et l’indexeur tournent, mais le composant manager n’est pas trouvé	Réinstaller ou reconfigurer le manager Wazuh
Sauvegardes	GitLab et Odoo production sans sauvegarde identifiée. Tables DynamoDB sans PITR. Aucun test de restauration enregistré.	Formaliser les sauvegardes, activer PITR, planifier un drill
Exposition réseau	Plusieurs services du serveur d’outillage publient un port directement sur l’interface publique, en plus de leur accès par Traefik	Restreindre l’exposition, passer par Traefik uniquement
Applications figées	Environ 20 pods avec un suffixe de chart ne correspondant à aucun des 9 charts, sans évolution depuis plusieurs mois	Clarifier le statut, migrer ou nettoyer
Bases de données	46 clusters déclarés dans `databases/` pour environ 95 instances observées	Réconcilier l’écart

Nouveaux chantiers v2 (17.3)

Sujet	Situation	Direction prise
Ansible roles	Repo `github.com/kaeyros-analytics-org/ansible-roles` existe mais l’arborescence et les playbooks ne sont pas documentés	Consolider les playbooks, documenter l’arborescence et les rôles
teler	WAF temps réel déployé mais les règles de détection sont à affiner	Écrire et tester les règles de filtrage adaptées au trafic Kaeyros
NeuVector	Agent host déployé sur le serveur d’outillage, mais les policies de sécurité runtime ne sont pas écrites	Définir les policies NeuVector pour le cluster et le serveur d’outillage
SonarQube	Plateforme déployée sur `sonarqube.kaeyros.org`, mais les seuils de qualité et les gates SAST ne sont pas définis	Configurer les seuils SonarQube et intégrer aux pipelines CI/CD
MongoDB Atlas	Snapshots continus et PITR activés, mais la rétention et la procédure de restauration ne sont pas formalisées	Documenter la rétention Atlas et la procédure de restauration
Namecheap / Cloudflare	18 zones DNS Cloudflare + domaines Namecheap, mais la coordination entre les deux registraires n’est pas documentée	Identifier qui gère quels domaines et documenter la procédure de transfert
VictoriaLogs	Conteneur `unhealthy` depuis plusieurs jours, logs potentiellement non collectés	Réparer ou remplacer VictoriaLogs, vérifier la collecte

Ce que cela signifie pour vous (17.4)

Rien de ce qui précède ne doit vous empêcher de travailler. La plateforme fonctionne, sert des dizaines de clients, et sa chaîne de déploiement est saine dans son principe.

Voici les pratiques à adopter dès maintenant :

Ne recopiez pas les pratiques existantes sans vous poser la question, notamment pour les secrets en clair.
Renseignez resources et les sondes sur tout ce que vous créez.
Utilisez rollout-v2 ou antid-v2 pour toute nouvelle application.
Faites tourner helm template avant de pousser : c’est le seul contrôle réel en l’absence de dry-run.
Signalez ce qui vous paraît étrange : plusieurs points de cette liste ont été trouvés parce que quelqu’un a regardé.