EXPLOITATION

Réglages de la plateforme

Les réglages valables pour toute l’installation : mail sortant, URLs publiques, rétention, nettoyage nocturne et captcha de connexion.

Admin → Système regroupe les réglages valables pour toute l’installation plutôt que pour un projet : par où part le mail, comment le panneau se désigne dans ses liens, combien de temps l’historique est conservé, ce qui tourne la nuit, et ce qui sépare un bot de votre formulaire de connexion.

Chaque réglage est stocké en base et prend effet sans redémarrage — les valeurs de votre `.env` servent de repli quand un réglage est laissé vide, et non l’inverse. Vider un champ revient à ce repli.

Les identifiants saisis ici — mot de passe SMTP, secrets clients OAuth, jeton Cloudflare, secret du captcha — sont chiffrés avant stockage, et la page d’administration ne les reçoit jamais en retour. Un champ affichant un texte de remplacement plutôt que la valeur saisie fonctionne correctement ; le retaper est le seul moyen de le changer.

Mail sortant

Un seul compte SMTP, utilisé par tout ce que le panneau envoie : réinitialisations de mot de passe, vérifications d’adresse, invitations de projet, résultats de déploiement et alertes de supervision. Envoyer un test expédie un message avec les réglages actuellement dans le formulaire, pour que vous le sachiez avant qu’une réinitialisation ne vous l’apprenne.

À ne pas confondre avec le serveur mail, qui reçoit et sert le courrier de *vos* domaines. Il s’agit ici du compte depuis lequel le panneau lui-même envoie — et il vaut mieux le faire pointer vers un fournisseur que vous n’hébergez pas sur cette machine, pour qu’une installation en panne puisse encore vous prévenir par mail.

URLs publiques

Les adresses auxquelles le tableau de bord et l’API répondent depuis Internet. Le panneau ne peut pas les deviner — il voit la requête qu’on lui transmet, pas l’adresse que vous avez donnée à vos utilisateurs — d’où un réglage unique, réutilisé partout où un lien doit être écrit plutôt que suivi :

Les liens dans les emails sortants — un lien de réinitialisation pointant vers localhost est le symptôme classique d’un champ laissé vide.
Les cibles de redirection pour le SSO et la connexion Discord, que le fournisseur compare à l’identique avec ce que vous y avez enregistré.

Les deux doivent être des URLs http(s) complètes. Renseignez-les dès que vous placez un domaine devant le panneau.

Rétention

Combien de temps chaque type d’historique est conservé avant purge. Laissez un champ vide pour utiliser la valeur par défaut de la dernière colonne.

Historique	Ce qu’il contient	Défaut
Métriques serveur	Les relevés CPU, mémoire et disque par hôte derrière les graphiques de supervision.	30 jours
Métriques conteneur	Les relevés par conteneur, pris toutes les 30 secondes — de loin la table la plus volumineuse ici.	7 jours, plafonné à 90
Déploiements	Les déploiements passés et leurs logs de construction.	90 jours
Journal d’audit	Qui a fait quoi, depuis où — voir audit.	365 jours

Une fenêtre de rétention est un nombre entier de jours entre 1 et 3650 ; le champ refuse toute autre valeur plutôt que d’accepter une faute de frappe qui effacerait silencieusement l’historique. La rétention des sauvegardes se règle à part, par planification et par âge — voir sauvegardes.

Les métriques conteneur sont le premier réglage à baisser si la base grossit plus vite que prévu, et le journal d’audit celui qu’il vaut le plus la peine d’augmenter — c’est le seul historique qui répond à une question qu’on vous posera des mois plus tard.

Le nettoyage nocturne

Une fois par nuit, à l’heure de votre choix (03:00 UTC par défaut), le panneau récupère le disque que Docker laisse filer de lui-même :

Les images rendues orphelines par une reconstruction, et les couches pendantes en dessous.
Le cache BuildKit, qui ne fait que croître. Désactivez-le si vous préférez garder les premières reconstructions rapides.
Les logs de conteneur au-delà d’une taille que vous fixez (200 Mo par défaut, minimum 10). Le log json-file par défaut n’a aucun plafond propre.

Les deux options de nettoyage sont actives par défaut. Un cache de build sans limite et un log de conteneur sans limite sont les deux causes habituelles d’un hôte saturé, et aucune n’est récupérable autrement : le cache ne fait que croître, et le log d’un conteneur en marche est invisible au balayage des orphelins. Les laisser actives coûte une première reconstruction plus lente et la perte d’anciennes lignes de log — peu de chose face à un disque plein.

Le même travail est disponible à la demande depuis la page Docker quand l’espace est nécessaire tout de suite plutôt que cette nuit. Les volumes ne sont jamais balayés, par aucun des deux chemins.

Protection de la connexion

Les formulaires de connexion et d’inscription sont les seules pages atteignables sans être authentifié, ce qui en fait les seules qui valent le temps d’un bot. Quatre modes :

Limitation de débit seule: Aucun widget. Le limiteur de requêtes, toujours actif, constitue toute la défense. C’est le mode par défaut, et il suffit pour un panneau dont seule votre équipe connaît l’adresse.
Cloudflare Turnstile: Un défi généralement invisible pour le visiteur. Le plus discret des trois widgets.
hCaptcha: Un défi visible, quand vous voulez qu’un bot doive renoncer plutôt que simplement obtenir un mauvais score.
reCAPTCHA v3: Note le visiteur de 0 à 1 au lieu de le défier ; vous fixez le seuil sous lequel une connexion est refusée.

Chaque widget prend deux valeurs : une clé de site, publique et incluse dans la page, et une clé secrète, qui ne l’est pas et ne quitte jamais le serveur. Le défi est vérifié côté serveur : un client qui contourne le widget est refusé de la même façon.

La vérification échoue en position fermée. Si le fournisseur de captcha est injoignable, les connexions sont refusées plutôt que laissées passer — un contrôle anti-bot qui s’ouvre sous la charge n’en est pas un. En cas de panne du fournisseur, repassez en limitation de débit seule pour rétablir l’accès ; le réglage prend effet immédiatement, et le bouton reste atteignable depuis une session déjà ouverte.

Ceci protège la porte du *mot de passe*. Pour le trafic atteignant vos applications, voir anti-DDoS ; pour supprimer entièrement la porte du mot de passe, voir SSO et double authentification.

Intégrations configurées ici

Le reste de la page enregistre les identifiants de services documentés sur leurs propres pages. Ils sont ici parce qu’ils appartiennent à l’installation, pas à un projet :

Section	Ce qu’elle active
SSO	La connexion Google, GitHub et OIDC, ainsi que les règles d’inscription et de domaines autorisés — voir SSO.
Discord	L’acheminement des alertes vers un salon ou un message privé — voir supervision.
Gitea / Forgejo	Un fournisseur Git auto-hébergé aux côtés de ceux fournis — voir applications.
PowerDNS	Faire tourner vos propres serveurs de noms autoritaires depuis le panneau — voir DNS.
Chiffrement des sauvegardes	La phrase secrète qui chiffre les archives — voir sauvegardes.

Toute modification sur cette page est inscrite au journal d’audit — la clé modifiée, jamais la valeur, pour qu’un secret renouvelé ne finisse pas dans un log expédié vers un agrégateur.