# Arch System

Référence datée et outils de reconstruction du poste **ArchASP**. Ce dépôt
contient des listes de paquets, manifests de services, configurations système,
modèles, inventaires historiques et procédures. Les dotfiles, données, clés et
connexions restent hors de ce dépôt. Les listes de juillet sont des
**observations historiques**, pas une installation actuelle garantie.

## Parcours

1. Lire la [référence de reconstruction](docs/reconstruction-baseline.md) et
   régler les décisions sur réseau, Secure Boot, swaps et copies externes.
2. Vérifier les copies indépendantes et suivre la [procédure complète sur
   papier](docs/reinstall.md), avec contrôles et arrêts à chaque phase.
3. Sur un support live UEFI identifié seulement, utiliser
   `scripts/prepare-disk.sh --dry-run DISQUE` avant toute confirmation
   destructive. La commande sans `--dry-run` efface le disque explicitement
   choisi ; elle n’a pas été exécutée sur ArchASP dans ce travail.
4. Installer le socle officiel, démarrer et vérifier, puis restaurer les
   fonctions du poste une à une. [deploy.sh](docs/deploy-safety.md) ne restaure
   ni le boot, ni les clés, ni les données. Tant que le pare-feu n’est pas
   arbitré, ne pas lancer `deploy.sh --all`.

## Contrôles locaux

```bash
bash tests/run.sh
```

Ce point d’entrée vérifie la syntaxe des scripts, les listes, manifests,
placeholders et liens locaux, puis les suites confinées de déploiement,
d’export, de préparation de disque et de diagnostic. Les tests exécutent des
**copies** dans `bwrap`, sans réseau ni accès aux périphériques blocs hôtes.
ShellCheck est exécuté seulement s’il est déjà disponible. Une réussite ne
certifie ni démarrage ni restauration physique.

`scripts/check-repo.sh` est le contrôle statique seul. `scripts/audit.sh` est
un diagnostic **en lecture seule** de la machine où il est lancé ; il peut
rencontrer des lectures refusées et ne doit pas servir de preuve automatique
de disponibilité. Il n’a pas été lancé sur les données réelles dans ce lot.

## Export privé et portée des fichiers

`scripts/backup.sh` crée un candidat **privé hors Git** pour revue. Il ne met
pas à jour automatiquement `pkglist/`, `inventory/`, `rootfs/` ou `templates/`
et n’est ni une sauvegarde des données ni une copie hors SSD. Lire son
[contrat](docs/backup.md) et inspecter tout candidat avant promotion ou
publication ; les fichiers peuvent contenir des informations sensibles.

`rootfs/` regroupe des configurations déployables **à sélectionner**, non
une vérité courante. `manifests/` décrit des intentions datées ; `inventory/`
conserve des observations. `templates/` contient des placeholders à remplacer
sur la machine cible. [Architecture](docs/architecture.md),
[maintenance](docs/maintenance.md), [migration SSD](docs/ssd-migration.md),
[sécurité](docs/security.md) et [bilan AS-001 à AS-009](docs/audits/2026-10-02-finalisation.md)
précisent les limites.