# Sécurité du dépôt

Le dépôt est public. Ne jamais y stocker :

- clés Secure Boot ;
- clés SSH privées ou clés hôte ;
- mots de passe d’application ;
- `.netrc` ;
- tokens Forgejo ;
- configurations WireGuard ;
- connexions NetworkManager ;
- bases SQLite ou données d’enquête ;
- sauvegardes brutes de `/root`.

Les règles sudoers fournies sont limitées à des helpers root contrôlés. Ne jamais autoriser sans mot de passe `/usr/bin/systemctl`, `/usr/bin/tee`, un shell ou un éditeur généraliste.

## Décisions avant restauration du réseau et de la chaîne de démarrage

Le fichier nftables versionné vise `wg0` ; le relevé du poste visait
`wlp1s0`, avec WireGuard en échec. Deux politiques sont possibles, à choisir
explicitement : **VPN obligatoire** (bloquer le trafic non autorisé quand le
tunnel tombe, tout en prévoyant les flux de connexion et de secours) ou
**VPN facultatif** (autoriser des flux directs définis et surveiller la panne
du tunnel). Pour chacune, dresser une table DNS/Web/SSH, boucle locale,
impression et flux VM, puis tester la coupure du VPN et le retour du réseau
sans perdre l’accès d’administration. Avant ce choix, ne pas copier le
pare-feu versionné et ne pas utiliser `deploy.sh --all`.

Pour Secure Boot, comparer les clés conservées hors Git, l’ESP réellement
montée, le chargeur EFI utilisé, les noyaux et les fichiers suivis par
`sbctl list-files`/`verify` selon la version installée. Le hook pacman sbctl
masqué sur ArchASP ne suffit pas à justifier sa réactivation ; la signature
éventuelle par post-hook mkinitcpio ne prouve pas la chaîne complète. Ne pas
recréer/enrôler de clés ou changer `ESP_PATH` sans la décision de l’opérateur
et un chemin de secours démarrable. Voir [la procédure](reinstall.md).