> ## Documentation Index > Fetch the complete documentation index at: https://infra-docs.kaeyros.org/llms.txt > Use this file to discover all available pages before exploring further. # État des lieux et chantiers en cours au 30 août 2026 > Dettes techniques et chantiers actifs de la plateforme Kaeyros au 30 août 2026 : sécurité, sauvegardes, observabilité, Ansible, réseau, outillage. Cette section existe pour que vous ne découvriez pas ces sujets par surprise. Ils sont connus, documentés, et font l'objet de chantiers en cours. Cette version v2 étend la liste initiale avec les nouveaux chantiers identifiés sur la sécurité, l'outillage et l'infrastructure. ## Chantiers identifiés dans le dépôt (17.1) Le document de référence est `docs/etat-des-lieux.md` du dépôt `argo-production`. | Sujet | Situation | Direction prise | | - | - | - | | Secrets applicatifs en clair | 166 fichiers sur 331 contiennent des variables sensibles en clair ; 6 seulement utilisent Vault | Rotation, provisionnement vault-backend, migration progressive vers externalSecrets | | CI d'audit | Deux scripts calculent une racine erronée et n'analysent aucun fichier | Correctif de 2 lignes identifié + code de sortie non nul à ajouter | | charts/rollout et Vault | `rollout` v1 échoue au rendu si `externalSecrets` est activé | Rétroporter la garde depuis `rollout-v2`, évite 116 migrations de chart | | Ressources et sondes | 269 fichiers sur 331 sans `resources`, 328 sur 331 sans sondes | Chantier progressif, commencer par les applications de production à fort trafic | | Périmètres hors GitOps | `databases/`, `secrets/`, `traefik.yaml` appliqués à la main | Créer des Applications dédiées pour `databases/` et `secrets/certificates/` | | Images non reflétées dans Git | `write-back-method: argocd` partout | Évaluation d'un passage à `write-back-method: git` | | Duplication de charts | `init`, `test-init`, `apps` sont des copies historiques d'`antid` | Convergence vers `antid-v2` puis suppression | | `databases/vmdo-prod.yaml` | YAML invalide (URI collée au milieu du bloc `volume`) | À corriger et faire tourner le mot de passe exposé | ## Observations sur l'infrastructure (17.2) Relevées lors de la rédaction de cette documentation : | Sujet | Situation | Direction prise | | - | - | - | | Plan de contrôle | Nœud `ubuntu-2404-noble` avec 31 redémarrages de son API server sur 3 jours ; nœud `ubuntu-2204-jammy` récemment reconstruit. Un DaemonSet `kube-proxy` surnuméraire hors dépôt coexiste avec les pods statiques RKE2. | Investigation stabilité, nettoyage du DaemonSet surnuméraire | | Certificats | 9 validations ACME en attente, dont 8 dans `kaeyros-website` depuis 46 jours | Consultez la page [/operations/debloquer-certificat](https://infra-docs.kaeyros.org/operations/debloquer-certificat.md) | | Observabilité | Conteneur VictoriaLogs `unhealthy` depuis plusieurs jours. L'agent de métriques du cluster a redémarré plusieurs fois. | Diagnostic VictoriaLogs, test de bout en bout de la chaîne d'alerte | | Uptime Kuma | L'opérateur tourne et lit les annotations Ingress, mais aucune instance Uptime Kuma n'est en fonctionnement sur le serveur d'outillage | Déployer Uptime Kuma ou supprimer l'opérateur | | Wazuh | Le dashboard et l'indexeur tournent, mais le composant manager n'est pas trouvé | Réinstaller ou reconfigurer le manager Wazuh | | Sauvegardes | GitLab et Odoo production sans sauvegarde identifiée. Tables DynamoDB sans PITR. Aucun test de restauration enregistré. | Formaliser les sauvegardes, activer PITR, planifier un drill | | Exposition réseau | Plusieurs services du serveur d'outillage publient un port directement sur l'interface publique, en plus de leur accès par Traefik | Restreindre l'exposition, passer par Traefik uniquement | | Applications figées | Environ 20 pods avec un suffixe de chart ne correspondant à aucun des 9 charts, sans évolution depuis plusieurs mois | Clarifier le statut, migrer ou nettoyer | | Bases de données | 46 clusters déclarés dans `databases/` pour environ 95 instances observées | Réconcilier l'écart | ## Nouveaux chantiers v2 (17.3) | Sujet | Situation | Direction prise | | - | - | - | | Ansible roles | Repo `github.com/kaeyros-analytics-org/ansible-roles` existe mais l'arborescence et les playbooks ne sont pas documentés | Consolider les playbooks, documenter l'arborescence et les rôles | | teler | WAF temps réel déployé mais les règles de détection sont à affiner | Écrire et tester les règles de filtrage adaptées au trafic Kaeyros | | NeuVector | Agent host déployé sur le serveur d'outillage, mais les policies de sécurité runtime ne sont pas écrites | Définir les policies NeuVector pour le cluster et le serveur d'outillage | | SonarQube | Plateforme déployée sur `sonarqube.kaeyros.org`, mais les seuils de qualité et les gates SAST ne sont pas définis | Configurer les seuils SonarQube et intégrer aux pipelines CI/CD | | MongoDB Atlas | Snapshots continus et PITR activés, mais la rétention et la procédure de restauration ne sont pas formalisées | Documenter la rétention Atlas et la procédure de restauration | | Namecheap / Cloudflare | 18 zones DNS Cloudflare + domaines Namecheap, mais la coordination entre les deux registraires n'est pas documentée | Identifier qui gère quels domaines et documenter la procédure de transfert | | VictoriaLogs | Conteneur `unhealthy` depuis plusieurs jours, logs potentiellement non collectés | Réparer ou remplacer VictoriaLogs, vérifier la collecte | ## Ce que cela signifie pour vous (17.4) > [!NOTE] > > Rien de ce qui précède ne doit vous empêcher de travailler. La plateforme fonctionne, sert des dizaines de clients, et sa chaîne de déploiement est saine dans son principe. Voici les pratiques à adopter dès maintenant : * Ne recopiez pas les pratiques existantes sans vous poser la question, notamment pour les secrets en clair. * Renseignez `resources` et les sondes sur tout ce que vous créez. * Utilisez `rollout-v2` ou `antid-v2` pour toute nouvelle application. * Faites tourner `helm template` avant de pousser : c'est le seul contrôle réel en l'absence de dry-run. * Signalez ce qui vous paraît étrange : plusieurs points de cette liste ont été trouvés parce que quelqu'un a regardé. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.