Parcours : écarts entre la doc, le code et la VM de démo

Écarts trouvés en écrivant les parcours (branche `docs/parcours-utilisateurs`), en lisant le code d'`ai-server` et en jouant les scénarios sur la VM de démo. Les pages de doc concernées sont déjà corrigées quand c'était possible ; restent les décisions produit et les corrections côté `ai-server`. ## Produit / ai-server - [ ] **Double authentification jamais proposée par défaut.** Les règles générées sont en `one_factor` : Authelia affiche « Il n'y a pas d'applications protégées nécessitant une méthode de second facteur ». Faut-il exiger `two_factor` (au moins pour les admins / le cockpit) sur les serveurs livrés ? - [ ] **Aucune boîte mail créée au provisioning.** `apps/stalwart/provision-user.sh` ne crée qu'un login de console admin, sans adresse. Les boîtes se font à la main. Corrigé dans `administrer/exploitation/mail.md` (qui affirmait l'inverse). Créer une boîte par utilisateur avec email ? - [ ] **Vaultwarden : une adresse invitée ne peut pas s'inscrire sans le mail d'invitation** (`Registration not allowed or user already exists`). Sans relai mail configuré, l'invitation est donc impossible. Documenté ; à signaler à l'admin dans le cockpit ? - [ ] **calrs ne peut sans doute pas lire Radicale** : les domaines des apps résolvent vers 127.0.0.1 (`modules/network.nix`) et calrs refuse une source CalDAV en IP privée sauf autorisation explicite (`src/caldav/mod.rs`). La fiche calrs annonce pourtant la lecture directe de Radicale. À tester et corriger. - [ ] **Nouvel utilisateur absent du portail après rebuild** : il faut `mask provision services --app authelia --force` (en plus de `mask provision users --user <nom>`). Non documenté dans la fiche Authelia. - [ ] **Comptes « portail seulement » (`server.authelia.users`) sans `passwordHashFile`** : ils héritent du mot de passe de l'admin principal (`apps/authelia/provision.sh`). Risque de sécurité. - [ ] **Memos échoue au boot** sur la VM de démo : `failed to load deployment configuration: failed to read deployment configuration directory`. - [ ] **Radicale** : seul un agenda est créé, pas de carnet de contacts ; le mot de passe est copié une seule fois et n'est jamais resynchronisé. - [ ] **Scripts déployés en retard** sur `~/ai-server` (Radicale absent du `_users.sh` déployé). ## Doc / cockpit - [ ] **Liens vers les fiches d'app** : les guides pointent vers `/apps/<app>`, mais dans le cockpit actuel `/apps/<app>` est la vue de l'app installée ; les fiches sont sous `/docs/apps/<app>`. Choisir la convention (remplacement global trivial). - [ ] **Doublons de pages** : `exploitation/sauvegarder-et-restaurer` (tutoriel) vs `sauvegardes` (référence), `mettre-a-jour` vs `mises-a-jour`. Les garder liés ou fusionner. - [ ] La référence FR `mises-a-jour.md` n'a pas la section *Breaking changes* de `server/docs/updates.md`. - [ ] Le menu **Assistant** du cockpit n'est pas Hermes (API de chat propre au cockpit) : risque de confusion pour l'utilisateur. ## VM de démo (dépôt docs) - [ ] Sans KVM, PostgreSQL dépasse son délai au boot et entraîne Authelia : runner CI avec KVM nécessaire. - [ ] Mot de passe de `camille` posé à la main : passer par `passwordHashFile`.

manu commented

2026-11-04 06:28:25 +01:00

Owner

Écarts trouvés en écrivant les parcours (branche docs/parcours-utilisateurs), en lisant le code
d'ai-server et en jouant les scénarios sur la VM de démo. Les pages de doc concernées sont déjà
corrigées quand c'était possible ; restent les décisions produit et les corrections côté ai-server.

Produit / ai-server

Double authentification jamais proposée par défaut. Les règles générées sont en one_factor :
Authelia affiche « Il n'y a pas d'applications protégées nécessitant une méthode de second facteur ».
Faut-il exiger two_factor (au moins pour les admins / le cockpit) sur les serveurs livrés ?
Aucune boîte mail créée au provisioning. apps/stalwart/provision-user.sh ne crée qu'un login
de console admin, sans adresse. Les boîtes se font à la main. Corrigé dans administrer/exploitation/mail.md
(qui affirmait l'inverse). Créer une boîte par utilisateur avec email ?
Vaultwarden : une adresse invitée ne peut pas s'inscrire sans le mail d'invitation
(Registration not allowed or user already exists). Sans relai mail configuré, l'invitation est donc
impossible. Documenté ; à signaler à l'admin dans le cockpit ?
calrs ne peut sans doute pas lire Radicale : les domaines des apps résolvent vers 127.0.0.1
(modules/network.nix) et calrs refuse une source CalDAV en IP privée sauf autorisation explicite
(src/caldav/mod.rs). La fiche calrs annonce pourtant la lecture directe de Radicale. À tester et corriger.
Nouvel utilisateur absent du portail après rebuild : il faut mask provision services --app authelia --force
(en plus de mask provision users --user <nom>). Non documenté dans la fiche Authelia.
Comptes « portail seulement » (server.authelia.users) sans passwordHashFile : ils héritent du
mot de passe de l'admin principal (apps/authelia/provision.sh). Risque de sécurité.
Memos échoue au boot sur la VM de démo : failed to load deployment configuration: failed to read deployment configuration directory.
Radicale : seul un agenda est créé, pas de carnet de contacts ; le mot de passe est copié une seule
fois et n'est jamais resynchronisé.
Scripts déployés en retard sur ~/ai-server (Radicale absent du _users.sh déployé).

Doc / cockpit

Liens vers les fiches d'app : les guides pointent vers /apps/<app>, mais dans le cockpit actuel
/apps/<app> est la vue de l'app installée ; les fiches sont sous /docs/apps/<app>. Choisir la convention
(remplacement global trivial).
Doublons de pages : exploitation/sauvegarder-et-restaurer (tutoriel) vs sauvegardes (référence),
mettre-a-jour vs mises-a-jour. Les garder liés ou fusionner.
La référence FR mises-a-jour.md n'a pas la section Breaking changes de server/docs/updates.md.
Le menu Assistant du cockpit n'est pas Hermes (API de chat propre au cockpit) : risque de confusion
pour l'utilisateur.

VM de démo (dépôt docs)

Sans KVM, PostgreSQL dépasse son délai au boot et entraîne Authelia : runner CI avec KVM nécessaire.
Mot de passe de camille posé à la main : passer par passwordHashFile.

Rows
Columns

Parcours : écarts entre la doc, le code et la VM de démo #3

Produit / ai-server

Doc / cockpit

VM de démo (dépôt docs)