Kelmscott

Envoi sur git

L’admin push vers Git, comme actuellement.

Demande de compilation

L’admin émet une requête vers Kelmscott pour demander une compilation, sur le chemin université/site : l’identifiant de l’université dans l’admin, puis le nom du dépôt du site. La requête contient tous les paramètres : dépôt, mode de synchronisation, variables et secrets. Elle est signée avec la clé privée de l’admin (Ed25519), qui n’existe que dans l’admin. Kelmscott vérifie la signature avec la clé publique de l’admin : il ne peut pas lui-même fabriquer de requête valide. La signature porte sur l’horodatage, le chemin et le contenu : une requête modifiée ou de plus de 5 minutes est refusée. L’admin n’envoie la requête qu’en HTTPS.

https://kelmscott.osuny.org/noesya/noesya-www
X-Kelmscott-Timestamp: 1791990000
X-Kelmscott-Signature: <signature de "horodatage, POST chemin, corps", en base 64>

{
  "git_url": "https://github.com/noesya/noesya-www.git",
  "sync_method": "sftp",
  "variables": {
    "SFTP_HOST": "ftp.example.org",
    "SFTP_USER": "noesya",
    "SFTP_PASSWORD": "<base64 du texte chiffré>",
    ...
  }
}

Les variables dépendent du mode de synchronisation (sftp, dxfl, rsync, s3). Dans l’admin osuny, les secrets sont chiffrés à l’enregistrement, avec la clé publique de Kelmscott (sealed box libsodium). L’interface permet de remplacer un secret, comme les GitHub secrets, mais jamais de le relire : l’admin lui-même ne peut pas le déchiffrer. Les variables non secrètes (hôte, utilisateur, chemin, bucket) restent lisibles dans l’admin, et ne sont protégées que par TLS pendant le transport.

Récupération depuis git

Kelmscott clone le repo s’il n’existe pas, le met à jour s’il existe, submodules compris. Seul le dernier commit est conservé (clone superficiel), et le dossier revient exactement à l’état distant.

Compilation du site

Kelmscott lance un processus autonome, sans les secrets : seule la synchronisation les reçoit. Ce processus tourne dans un sandbox systemd, sous un utilisateur dédié sans droits (kelmscott-build), qui ne voit et ne peut écrire que le dossier de son site. La compilation est reproduite entièrement, ce n’est pas un yarn osuny build, parce que c’est très inefficace de réinstaller tout le temps. Les dépendances du thème viennent d’une toolchain partagée, en lecture seule, et aucun script npm du thème n’est exécuté.

hugo --minify
pagefind

Synchronisation du site

Kelmscott décrypte les secrets avec la clé privée. Kelmscott les fournit au script de synchronisation, sans les écrire nulle part. Le site peut ajouter l’IP de Kelmscott à sa liste blanche. La synchronisation s’exécute.

Publication des logs

Les logs sont purgés des infos secrètes. La sortie de la synchronisation est relue avant d’être écrite : chaque secret, et chaque ligne d’une clé SSH, est remplacé par [secret masqué].

Badge d’état

Le badge d’état affiche le succès ou l’échec de la publication.

Consultation des logs

Les commoners peuvent consulter le dernier log, notamment pour débugger. Les logs sont publics sur Kelmscott, et le badge renvoie vers eux. Les secrets y sont masqués : il ne reste que des hôtes, des chemins et des noms de fichiers. Ce risque est accepté.