chore: update

2026-08-08 12:20:56 +02:00
parent fbda118856
commit ef303951a3
12 changed files with 221 additions and 24 deletions
@@ -27,7 +27,11 @@ persistence:
  uploads:
    enabled: true
    size: 5Gi
-    storageClass: ""
+    # Répliqué sur 2 nœuds (Longhorn) : survit à la perte d'un nœud. Voir
+    # deploy/longhorn/storageclass.yml pour le prérequis d'installation.
+    # N'a d'effet que pour storage_driver=local (les uploads S3 ne passent
+    # jamais par ce PVC, voir ProvisionConfig.StorageDriver).
+    storageClass: "longhorn-replicated"
    accessMode: ReadWriteOnce

 env:
@@ -12,7 +12,9 @@ auth:
 persistence:
  enabled: true
  size: 10Gi
-  storageClass: ""
+  # Répliqué sur 2 nœuds (Longhorn) : survit à la perte d'un nœud. Voir
+  # deploy/longhorn/storageclass.yml pour le prérequis d'installation.
+  storageClass: "longhorn-replicated"
  accessMode: ReadWriteOnce

 resources:
@@ -10,7 +10,9 @@ auth:
 persistence:
  enabled: true
  size: 2Gi
-  storageClass: ""
+  # Répliqué sur 2 nœuds (Longhorn) : survit à la perte d'un nœud. Voir
+  # deploy/longhorn/storageclass.yml pour le prérequis d'installation.
+  storageClass: "longhorn-replicated"
  accessMode: ReadWriteOnce

 resources:
@@ -9,8 +9,5 @@ spec:
  chain:
    middlewares:
      - name: rate-limit
-      # coraza-waf retiré temporairement : le plugin WASM échoue à charger
-      # (module/version pas fiablement confirmés), ce qui invalidait TOUTE
-      # la chaîne et cassait le routage de toutes les démos. À réactiver une
-      # fois la config du plugin vérifiée (voir middleware-waf.yaml).
+      - name: coraza-waf
      - name: security-headers
@@ -56,20 +56,20 @@ traefik:
  accessLog:
    enabled: true

-  # Plugin Coraza WAF — DÉSACTIVÉ temporairement : "github.com/corazawaf/
-  # coraza-traefik@v0.3.0" n'existe pas sur le catalogue de plugins Traefik
-  # (404 au démarrage), ce qui invalidait toute la chaîne de middlewares et
-  # cassait le routage de TOUTES les démos. Le bon plugin est probablement
-  # github.com/jcchavezs/coraza-http-wasm-traefik (WASM), mais le nom de
-  # module exact + la version doivent être repris tels quels depuis
-  # https://plugins.traefik.io (bouton "Install this plugin" génère le
-  # snippet exact et garanti à jour) avant de les remettre ici — deux
-  # tentatives de deviner la bonne valeur ont déjà cassé la prod.
-  # experimental:
-  #   plugins:
-  #     coraza-traefik:
-  #       moduleName: ""
-  #       version: ""
+  # Plugin Coraza WAF — module/version confirmés directement depuis les tags
+  # git du dépôt (github.com/jcchavezs/coraza-http-wasm-traefik, dernier tag
+  # v0.3.0, vérifié via l'API GitHub le 2026-08-03) et son .traefik.yml
+  # (runtime: wasm, type: middleware). L'ancien module "github.com/corazawaf/
+  # coraza-traefik" n'existe pas (404 au chargement) et cassait toute la
+  # chaîne de middlewares — ne jamais y revenir. Le CRS (OWASP Core Rule Set)
+  # est embarqué dans le binaire WASM du plugin (voir coraza-http-wasm/main.go,
+  # includeCRS=true par défaut) : les directives "Include @owasp_crs/*.conf"
+  # etc. dans templates/middleware-waf.yaml fonctionnent sans fichiers externes.
+  experimental:
+    plugins:
+      coraza-traefik:
+        moduleName: github.com/jcchavezs/coraza-http-wasm-traefik
+        version: v0.3.0

  # ACME interne désactivé : c'est cert-manager qui gère le cycle de vie du
  # certificat wildcard (voir deploy/cert-manager/), Traefik ne fait que le