L'histoire
Mes applications tournaient sur un serveur monté à la main : un système hors support, des processus lancés un par un, une configuration nginx éditée fichier par fichier et aucune sauvegarde. Un premier essai, MultisiteConfig, les regroupait déjà derrière un proxy Docker. Infra va au bout de l'idée.
Chaque projet déclare ce dont il a besoin dans un manifeste. Le serveur décide de ce qu'il accorde. Un réconciliateur écrit en Python compare l'état voulu, tenu dans Git, à ce qui tourne réellement, et corrige l'écart toutes les deux minutes.
Ce que j'ai fait
- Amorçage et durcissement d'un serveur Debian 13 avec Ansible : SSH par clé seule, pare-feu nftables, fail2ban, contrôle de conformité automatique
- Traefik v3 et certificats TLS automatiques
- Sauvegardes chiffrées avec restic vers Backblaze B2, vérifiées chaque semaine et restaurées pour de vrai
- Déploiement continu : image construite par GitHub Actions, déployée par empreinte, retour automatique à la version précédente si elle ne répond pas
- Un réseau isolé par projet, une base MariaDB partagée avec un compte par projet, des secrets jamais écrits dans un dépôt
- Supervision, alertes sur téléphone, journal d'événements et portail public des applications