Un terme par entrée, 2-4 phrases, traduction anglaise entre parenthèses, lien vers la page de
cours qui l'explique en profondeur. Complété au fur et à mesure de la génération des modules —
objectif ≥150 entrées à la fin de la Phase 1.
(broadcast address) — Dans un réseau /24, la dernière adresse (.255), utilisée pour
envoyer un message à toutes les machines du réseau en une fois. Jamais attribuable à une
machine individuelle.
→ Adressage IP
(IP address) — Identifiant numérique d'une machine sur un réseau, sur 32 bits en IPv4, écrit
en quatre nombres de 0 à 255 séparés par des points. Combinée à un masque, elle situe une
machine dans un réseau précis.
→ Adressage IP
(network address) — Dans un réseau /24, la première adresse (.0), qui désigne le réseau
lui-même et ne s'attribue à aucune machine.
→ Adressage IP
(agent) — Mode de fonctionnement de Portainer où un petit programme déployé sur une machine
distante permet de l'administrer depuis une interface Portainer centrale. N'a d'intérêt qu'à
partir de plusieurs machines Docker à gérer ensemble.
→ Fiche service : Portainer
(alert) — Notification déclenchée automatiquement dès qu'une métrique franchit un seuil défini
à l'avance. Une vraie supervision repose sur des alertes, pas sur la seule consultation
occasionnelle d'un dashboard.
→ Exploiter sa supervision au quotidien
(authorized_keys) — Fichier situé dans ~/.ssh/ d'un compte utilisateur, listant les clés
publiques SSH autorisées à s'y connecter. Une ligne = une clé publique. C'est ce fichier que
complète ssh-copy-id lors de l'installation d'une nouvelle clé.
→ SSH et clés
(certificate authority, CA) — Entité dont le rôle est de vérifier une identité avant de signer
un certificat. Un navigateur ne fait confiance qu'aux certificats signés par une autorité qu'il
reconnaît déjà — Let's Encrypt et mkcert en sont deux, à des échelles différentes.
→ TLS et certificats
(lease) — Durée pendant laquelle une adresse IP attribuée par DHCP reste valide pour une
machine, avant renouvellement ou réattribution. C'est cette notion de durée limitée qui rend le
DHCP simple pour des appareils de passage, mais peu fiable pour un serveur qui doit garder une
adresse stable.
→ DHCP et IP fixe
(bind mount) — Montage direct d'un dossier précis de la machine hôte dans un conteneur, par
opposition à un volume nommé géré entièrement par Docker. Plus simple à localiser et à
sauvegarder manuellement — l'approche privilégiée sur notre installation.
→ Docker en profondeur
(breaking change, changement cassant) — Modification d'une nouvelle version d'un logiciel qui
casse la compatibilité avec la configuration ou les données existantes. À repérer dans les notes
de version avant toute mise à jour.
→ Mises à jour : procédure sans casse
(certificate) — Document numérique associant un nom de domaine à une clé publique, signé par
une autorité de certification. C'est lui que présente un serveur pour prouver son identité lors
d'une connexion TLS.
→ TLS et certificats
(CGNAT, Carrier-Grade NAT) — Couche de NAT supplémentaire appliquée par le fournisseur d'accès
internet, où plusieurs foyers partagent une même adresse IP publique. Rend généralement
impossible l'exposition d'un service par simple redirection de port sur sa propre box.
→ NAT et box
(chain of trust) — Suite de signatures qui relie un certificat à une autorité déjà reconnue
par le client qui le consulte. Sans cette chaîne établie, un navigateur affiche un avertissement
de sécurité, même si le certificat existe bel et bien.
→ TLS et certificats
(relative path) — Chemin de fichier interprété à partir du dossier courant, par opposition à
un chemin absolu qui part toujours de la racine /. documents/notes.txt est relatif ; /home/ utilisateur/documents/notes.txt est absolu.
→ La ligne de commande
(CIDR, Classless Inter-Domain Routing) — Notation compacte d'un masque de sous-réseau, écrite
/n après une adresse IP (ex. /24), où n indique le nombre de bits réservés à la partie
réseau. 192.0.2.0/24 équivaut à un masque 255.255.255.0.
→ Adressage IP
(private key) — Moitié secrète d'une paire de clés SSH, qui ne quitte jamais la machine sur
laquelle elle a été générée. C'est elle qui produit la preuve cryptographique de l'identité lors
d'une connexion — sans jamais transiter sur le réseau.
→ SSH et clés
(public key) — Moitié partageable d'une paire de clés SSH, déposée sur un serveur dans
authorized_keys. Permet de vérifier une preuve produite par la clé privée correspondante,
sans jamais avoir besoin de connaître cette clé privée.
→ SSH et clés
(command-line interface, interface en ligne de commande) — Façon de piloter un ordinateur en
tapant des instructions textuelles, interprétées par un shell, plutôt qu'en cliquant dans une
interface graphique. Mode d'administration normal d'un serveur.
→ La ligne de commande
(client) — Dans le modèle client/serveur, programme qui initie une demande vers un serveur.
Un navigateur web est un client ; il ouvre la connexion, le serveur ne le fait jamais de sa
propre initiative dans ce modèle.
→ Le modèle client/serveur
(CNAME, Canonical Name) — Type d'enregistrement DNS qui fait pointer un nom de domaine vers un
autre nom, plutôt que directement vers une adresse IP. Le nom cible est résolu à son tour,
comme un alias.
→ DNS
(container) — Instance en cours d'exécution d'une image Docker : un processus isolé qui
partage le noyau de la machine hôte, avec son propre système de fichiers temporaire et sa propre
vue du réseau. Plus léger qu'une VM, moins isolé.
→ VM vs conteneur vs LXC
(CPU, central processing unit, processeur) — Composant qui exécute les instructions d'un
programme, une à la fois par cœur. Rarement le facteur limitant sur un homelab de départ, sauf
pour des tâches spécifiques comme le transcodage vidéo.
→ Anatomie d'une machine
(curl) — Outil en ligne de commande pour effectuer des requêtes réseau (HTTP, HTTPS...) et
afficher ou enregistrer la réponse. Utilisé dans ce wiki aussi bien pour tester un service local
que pour interroger une API.
→ Le modèle client/serveur
(deduplication) — Technique qui détecte les blocs de données identiques entre plusieurs
sauvegardes et ne les stocke qu'une seule fois. Permet à des outils comme Restic ou Borg
d'économiser fortement l'espace disque entre plusieurs instantanés successifs.
→ La règle 3-2-1
(daemon) — Processus conçu pour tourner en arrière-plan, en continu, sans interaction directe
avec un utilisateur — la concrétisation, au niveau du système, de la notion de service. Un
serveur web ou une base de données sont des démons. Par convention, leur nom se termine souvent
par un d (sshd).
→ Processus et services
(DHCP, Dynamic Host Configuration Protocol) — Protocole par lequel une machine obtient
automatiquement une adresse IP à sa connexion à un réseau, attribuée temporairement par un
serveur DHCP (souvent la box internet). Peu adapté à un serveur qui a besoin d'une adresse
stable dans le temps.
→ DHCP et IP fixe
(dig, Domain Information Groper) — Outil de diagnostic DNS de référence, qui interroge un nom
de domaine et affiche l'enregistrement trouvé. dig +short réduit la sortie à l'essentiel.
→ DNS
(availability) — Capacité d'un service à continuer de fonctionner malgré un incident (par
exemple la panne d'un disque, couverte par le RAID). À distinguer de la récupérabilité, que seule
une sauvegarde apporte.
→ RAID n'est pas une sauvegarde
(distribution, distro) — Ensemble cohérent construit autour du noyau Linux : gestionnaire de
paquets, configuration par défaut, politique de mises à jour. Ubuntu, Debian, Fedora sont des
distributions différentes partageant le même noyau.
→ Le système d'exploitation
(DNS, Domain Name System) — Système qui traduit un nom de domaine en adresse IP. Permet de
retenir des noms plutôt que des suites de chiffres, et de changer l'adresse d'un service sans
que personne n'ait à mettre à jour un favori.
→ DNS
(Docker Compose) — Outil qui décrit, dans un seul fichier YAML (compose.yaml), un ou
plusieurs conteneurs formant un stack cohérent. Évite de taper une longue commande docker run
pour chaque service — l'état voulu se déclare une fois.
→ Un compose.yaml décortiqué
(DOCKER-USER) — Chaîne de pare-feu (iptables) consultée par Docker avant d'accepter le
trafic redirigé vers un port publié par un conteneur. C'est la chaîne à utiliser pour reprendre
un contrôle explicite sur ce trafic, contrairement aux règles ufw classiques qu'il contourne.
→ Pare-feu
(ECC, Error-Correcting Code) — Type de mémoire capable de détecter et corriger automatiquement
certaines erreurs de bits, évitant une corruption silencieuse de données. Pertinent au-delà d'un
usage d'apprentissage, rare sur le matériel grand public.
→ Critères techniques
(A record) — Type d'enregistrement DNS le plus courant, qui fait correspondre un nom de
domaine à une adresse IPv4. Son équivalent pour IPv6 est l'enregistrement AAAA.
→ DNS
(.env file) — Fichier de variables d'environnement (mots de passe, jetons) chargé par une
application ou un compose.yaml au démarrage, jamais versionné. Un .env.example, avec des
valeurs factices, peut en revanche être versionné pour documenter les variables attendues.
→ Gestion des secrets
(/etc/hosts) — Fichier de résolution de noms locale à une machine, consulté avant toute
requête DNS : une ligne IP nom y prime toujours sur la résolution DNS pour ce même nom. Une
alternative manuelle à un vrai serveur DNS local, à recopier sur chaque machine cliente.
→ DNS
(exporter) — Petit programme qui expose des métriques d'un système ou d'un service dans un
format lisible par Prometheus. node_exporter en est l'exemple dédié aux métriques d'une
machine (CPU, RAM, disque, réseau).
→ Fiche service : Prometheus et Grafana
(ext4, fourth extended filesystem) — Système de fichiers journalisé, par défaut sur la
quasi-totalité des distributions Linux dont Ubuntu Server. Stable et éprouvé, sans exigence
particulière, ce qui explique son statut de choix par défaut.
→ Systèmes de fichiers
(alert fatigue) — Phénomène par lequel des alertes trop fréquentes ou peu pertinentes finissent
par être ignorées par réflexe, au risque de noyer une alerte véritablement importante dans le
bruit des précédentes.
→ Exploiter sa supervision au quotidien
(GID, Group ID) — Identifiant numérique d'un groupe Linux. Un processus dans un conteneur
Docker s'exécute avec un GID propre à son image, pas forcément celui attendu par un dossier
partagé — source fréquente d'erreurs de permission sur les bind mounts.
→ Permissions des volumes
(.gitignore) — Fichier qui liste des motifs de noms de fichiers que Git doit ignorer
systématiquement, même s'ils existent sur le disque. Des motifs comme *.env, secrets/
empêchent qu'un secret rejoigne accidentellement un commit.
→ Gestion des secrets
(grep, global regular expression print) — Outil qui filtre les lignes d'un texte selon un
motif recherché. Combiné à d'autres commandes (docker logs | grep error), c'est le réflexe de
base pour chercher une information précise dans une sortie volumineuse.
→ La ligne de commande
(group) — Ensemble d'utilisateurs auquel on accorde collectivement des droits sur des
fichiers ou des commandes. Le groupe docker, par exemple, donne le droit d'utiliser Docker
sans passer par sudo à chaque commande.
→ Utilisateurs et permissions
(hairpin NAT) — Échec de connexion qui survient quand un service pointe vers l'adresse IP
publique ou l'IP de la machine hôte pour joindre un service tournant sur cette même machine,
plutôt que vers son nom de conteneur ou 127.0.0.1. Le trafic doit alors « faire demi-tour »,
un aller-retour mal géré par certaines configurations réseau.
→ Reverse proxy
(HDD, Hard Disk Drive) — Disque dur mécanique, qui stocke les données sur des plateaux
magnétiques lus par une tête mobile. Le coût au gigaoctet le plus bas, mais plus lent et plus
sensible aux chocs qu'un SSD — adapté au stockage volumineux peu sollicité.
→ Stockage
(healthcheck) — Vérification périodique, déclarée dans un compose.yaml, que confirme qu'un
conteneur ne se contente pas de tourner mais répond réellement. Utile face à un conteneur
Up alors que le service à l'intérieur n'a pas encore fini de démarrer.
→ Un compose.yaml décortiqué
(home lab) — Un ou plusieurs ordinateurs personnels, chez soi, utilisés pour héberger des
services plutôt que pour un usage bureautique classique. Par opposition à un serveur
d'entreprise, un homelab accepte les pannes et sert avant tout à apprendre.
→ Pourquoi un homelab ?
(off-site) — Copie de sauvegarde conservée dans un lieu géographiquement différent de
l'original. Le volet de la règle 3-2-1 qui protège contre un sinistre localisé (incendie, vol,
dégât des eaux) touchant le lieu principal.
→ La règle 3-2-1
(HTTP, HyperText Transfer Protocol) — Protocole de communication du web, qui définit comment
un client (navigateur) et un serveur échangent des pages et des ressources. HTTPS en est la
version chiffrée, largement la norme aujourd'hui.
→ Le modèle client/serveur
(HTTPS, HTTP Secure) — Version chiffrée de HTTP, transportée sur une connexion TLS. Le cadenas
affiché dans la barre d'adresse d'un navigateur signale une connexion HTTPS active.
→ TLS et certificats
(hypervisor) — Logiciel qui partage les ressources physiques d'une machine entre plusieurs
machines virtuelles, chacune avec son propre noyau. Absent de notre installation, qui fait
tourner Docker nativement, sans hyperviseur.
→ VM vs conteneur vs LXC
(ICMP, Internet Control Message Protocol) — Protocole utilisé notamment par ping pour tester
si une machine répond sur le réseau. Certains pare-feux le bloquent volontairement sans bloquer
le reste du trafic — un ping sans réponse n'est donc qu'un indice, pas une preuve de panne.
→ Diagnostic réseau
(image) — Modèle figé, en lecture seule, contenant tout ce qu'il faut pour exécuter une
application : code, dépendances, configuration par défaut. Se télécharge ou se construit, et
sert de base à autant de conteneurs que nécessaire.
→ Docker en profondeur
(snapshot) — Copie figée d'un système ou d'un jeu de données à un instant précis. Utile pour
revenir en arrière avant un lab risqué (instantané de VM) ou pour lister les points de
restauration disponibles d'une sauvegarde (restic snapshots).
→ Lab 00 — Bac à sable
(private IP) — Adresse appartenant à l'une des trois plages réservées par la RFC 1918,
réutilisable à l'infini dans des réseaux différents car jamais routée directement sur Internet.
La grande majorité des machines d'un réseau domestique en ont une.
→ Privé vs public
(public IP) — Adresse unique au monde entier, routable directement sur Internet. Une box
internet en a généralement une seule, partagée par tout le réseau domestique via le NAT.
→ Privé vs public
(static IP) — Adresse IP configurée manuellement sur une machine (via netplan sous Ubuntu),
qui n'interroge alors plus de serveur DHCP. Garantit une adresse stable, y compris en cas de
panne ou de changement du service DHCP de la box.
→ DHCP et IP fixe
(IPMI, Intelligent Platform Management Interface) — Interface d'administration matérielle
indépendante du système d'exploitation, permettant d'intervenir sur une machine (allumer, voir
l'écran) même si son système ne démarre pas, via le réseau. Rare sur le matériel grand public.
→ Critères techniques
(iptables) — Outil de configuration du pare-feu du noyau Linux, sur lequel s'appuient à la
fois ufw et Docker — chacun de son côté, ce qui explique que leurs règles respectives
puissent ne pas interagir comme on l'attendrait.
→ Pare-feu
(kWh, kilowatt-hour) — Unité de mesure de l'énergie consommée, utilisée pour facturer
l'électricité. Une machine qui consomme 15 W pendant 1000 heures a consommé 15 kWh
(15 × 1000 ÷ 1000). C'est le nombre affiché sur une facture d'électricité, multiplié par le
prix du kWh.
→ Le coût total, honnêtement
(Let's Encrypt) — Autorité de certification publique et gratuite, dont les certificats sont
reconnus par tous les navigateurs, à condition que le domaine soit vérifiable publiquement —
donc exposé sur Internet. Inadaptée à un service qui reste uniquement sur un réseau local.
→ TLS et certificats
(log) — Message texte horodaté produit par un service pour tracer son activité. Complémentaire
d'une métrique : le log raconte un événement, la métrique mesure une valeur chiffrée.
→ Logs : Loki et Promtail
(LogQL) — Langage de requête de Loki, qui filtre les logs par étiquette puis par motif de
texte. Permet une recherche transversale sur tous les conteneurs, plus rapide qu'un grep
répété service par service.
→ Logs : Loki et Promtail
(Loki) — Outil qui stocke et indexe les logs collectés par Promtail, interrogeables ensuite via
LogQL. Le même principe que Prometheus pour les métriques, appliqué aux messages texte.
→ Logs : Loki et Promtail
(LTS, Long Term Support) — Version d'une distribution maintenue (mises à jour de sécurité)
sur plusieurs années, par opposition aux versions courantes remplacées tous les six mois. Choix
recommandé pour un serveur qu'on ne veut pas réinstaller fréquemment.
→ Le système d'exploitation
(LUKS, Linux Unified Key Setup) — Standard de chiffrement de disque sous Linux, qui exige une
passphrase à chaque démarrage. Entre en tension avec un serveur headless qui doit redémarrer
seul après une coupure de courant, sans clavier branché.
→ Systèmes de fichiers
(LVM, Logical Volume Manager) — Couche d'abstraction du stockage qui facilite le
redimensionnement ultérieur des partitions, souvent proposée par défaut dans l'installeur
Ubuntu Server. Utile sur un serveur dont les besoins évoluent avec le temps.
→ Installer Ubuntu Server
(LXC, Linux Containers) — Technologie de conteneurisation faisant tourner un système Linux
complet (avec son propre systemd), tout en partageant le noyau de la machine hôte — entre la
VM et le conteneur applicatif classique.
→ VM vs conteneur vs LXC
(random MAC address) — Fonctionnalité de certaines cartes Wi-Fi (courante sur du matériel
Apple récent) qui génère une adresse MAC différente à chaque reconnexion, par confidentialité.
Casse le mécanisme des réservations DHCP, qui repose sur une MAC stable.
→ Réseau matériel
(trust store) — Ensemble des autorités de certification qu'une machine ou un conteneur
reconnaît comme fiables. Un conteneur a son propre magasin de confiance, distinct de celui d'une
machine cliente — une autorité locale mkcert installée sur l'une n'est pas automatiquement
connue de l'autre.
→ Fiche service : Uptime Kuma
(subnet mask) — Valeur qui, combinée à une adresse IP, sépare la partie réseau (commune à
toutes les machines du réseau) de la partie hôte (propre à chaque machine). S'exprime aussi en
notation CIDR (/24 équivaut à 255.255.255.0).
→ Adressage IP
(metric) — Valeur numérique mesurée à intervalle régulier (usage CPU, mémoire disponible,
espace disque...), collectée par un outil comme Prometheus via des exporters.
→ Fiche service : Prometheus et Grafana
(mkcert) — Outil qui crée une autorité de certification locale, propre à un réseau donné, puis
installe son certificat racine sur les machines clientes. Permet d'obtenir des certificats TLS
valides pour des services qui ne sont jamais exposés publiquement, sans les contraintes de
Let's Encrypt.
→ TLS et certificats
(threat model) — Réflexion structurée en quatre questions (quoi protéger, contre qui, quelle
probabilité, quel effort) qui guide les priorités de sécurité selon la situation réelle, plutôt
que selon des scénarios de cinéma.
→ Modèle de menace
(principle of least privilege) — Principe selon lequel un utilisateur, un processus ou un
service ne devrait disposer que des droits strictement nécessaires à sa tâche. Le refus de
NOPASSWD (vu en M1) en est l'application la plus directe sur ce projet.
→ Le moindre privilège
(monitor) — Vérification périodique configurée dans un outil comme Uptime Kuma (HTTP, TCP,
ping...), qui contrôle qu'un service répond toujours et déclenche une alerte en cas de panne
détectée.
→ Fiche service : Uptime Kuma
(NAT, Network Address Translation) — Mécanisme qui permet à plusieurs machines d'un réseau
privé de partager une seule adresse IP publique. Bloque par effet de bord toute connexion
entrante non sollicitée, sauf redirection de port explicite.
→ NAT et box
(netplan) — Outil de configuration réseau d'Ubuntu, piloté par des fichiers YAML sous
/etc/netplan/. Utilisé notamment pour fixer une IP statique sur une machine, plutôt que de
dépendre d'une réservation DHCP côté box.
→ DHCP et IP fixe
(netstat, network statistics) — Ancêtre de ss, listant les connexions réseau et les ports en
écoute. Toujours présent sur beaucoup de systèmes, mais ss est aujourd'hui l'outil recommandé
sous Linux.
→ Le modèle client/serveur
(node_exporter) — Exporter Prometheus dédié aux métriques d'une machine (CPU, RAM, disque,
réseau). Nécessite une configuration explicite (pid: host, montages de /proc//sys//) pour
mesurer la vraie machine hôte plutôt que son propre conteneur.
→ Fiche service : Prometheus et Grafana
(kernel) — Cœur du système d'exploitation : gère la mémoire, planifie l'accès au CPU entre
les processus, pilote le matériel via des pilotes, isole les programmes entre eux. Sous Linux,
le noyau s'appelle Linux — d'où le nom du système.
→ Le système d'exploitation
(NVMe, Non-Volatile Memory Express) — Interface de stockage à haute vitesse pour les disques
SSD modernes, connectée directement au bus de la machine plutôt que via un câble SATA classique.
Nettement plus rapide qu'un SSD SATA, en particulier en lecture/écriture simultanée.
→ Anatomie d'une machine
(firewall) — Outil qui filtre le trafic réseau entrant et sortant selon des règles explicites.
Sous Ubuntu, ufw en est l'interface la plus courante — mais Docker gère ses propres règles
indépendamment, à un niveau que ufw ne voit pas.
→ Pare-feu
(gateway) — Machine (souvent la box internet) par laquelle transite tout trafic sortant d'un
réseau local vers un autre réseau. Une des adresses réservées d'un réseau, au même titre que
l'adresse réseau et l'adresse de diffusion.
→ Adressage IP
(PCIe, Peripheral Component Interconnect Express) — Bus de connexion à haute vitesse d'une
machine, sur lequel se branche directement un disque NVMe, plus rapide que l'interface SATA
historiquement conçue pour les disques mécaniques.
→ Stockage
(permissions) — Droits d'accès à un fichier ou dossier sous Linux, définis séparément pour le
propriétaire, le groupe propriétaire et les autres utilisateurs, selon trois capacités :
lecture (r), écriture (w), exécution (x).
→ Utilisateurs et permissions
(PID, process ID) — Identifiant numérique unique attribué à chaque processus en cours
d'exécution sur une machine. Sert à cibler précisément un processus (pour le surveiller ou
l'arrêter) parmi tous ceux qui tournent.
→ Processus et services
(pid: host) — Directive Docker Compose qui fait partager à un conteneur l'espace de noms des
processus de la machine hôte. Combinée à des montages de /proc//sys, permet à
node_exporter de voir les vraies ressources de la machine plutôt que celles de son propre
conteneur.
→ Fiche service : Prometheus et Grafana
(ping) — Commande qui envoie des paquets ICMP à une machine cible pour vérifier si elle
répond, et en combien de temps. Une absence de réponse n'est qu'un indice : certains pare-feux
bloquent ICMP sans bloquer le reste du trafic.
→ Diagnostic réseau
(PoE, Power over Ethernet) — Technologie qui fait transiter à la fois les données et
l'alimentation électrique sur un seul câble réseau. Utile pour un équipement éloigné d'une prise
électrique, au prix d'un switch et de câbles compatibles, plus coûteux.
→ Réseau matériel
(port) — Numéro (0 à 65535) qui identifie, sur une même machine, à quel service une demande
réseau s'adresse. Une machine a une seule adresse IP mais peut faire tourner plusieurs services,
chacun sur son propre port.
→ Le modèle client/serveur
(process) — Un programme en cours d'exécution, identifié par un PID, qui se termine une fois
sa tâche accomplie. Un démon est un cas particulier de processus, conçu pour ne jamais se
terminer de lui-même.
→ Processus et services
(Promtail) — Agent qui collecte les logs de chaque conteneur ou fichier de log et les envoie
vers Loki. Joue, pour les logs, le rôle que node_exporter joue pour les métriques.
→ Logs : Loki et Promtail
(protocol) — Ensemble de règles précises régissant un échange réseau : format des messages,
ordre des échanges, gestion des erreurs. HTTP, SSH et DNS sont des protocoles, chacun conçu pour
un usage précis.
→ Le modèle client/serveur
(proxy) — Serveur intermédiaire qui agit pour le compte d'un client, en cachant son identité
vis-à-vis des serveurs contactés. À l'inverse d'un reverse proxy, qui agit pour le compte d'un
serveur.
→ Reverse proxy
(Proxy Host) — Règle configurée dans Nginx Proxy Manager qui associe un nom de domaine à un
service interne, avec sa gestion du certificat TLS. L'équivalent, dans l'interface graphique de
NPM, d'un bloc de configuration reverse proxy écrit à la main.
→ Fiche service : Nginx Proxy Manager
(PUID/PGID) — Variables d'environnement acceptées par certaines images Docker (notamment
LinuxServer.io), qui indiquent explicitement l'UID/GID avec lequel le processus interne doit
s'exécuter. Simple quand l'image le supporte, sans effet sinon.
→ Permissions des volumes
(RAID, Redundant Array of Independent Disks) — Combinaison de plusieurs disques physiques en
un seul volume logique, pour la performance et/ou la redondance. Protège contre la panne d'un
disque isolé, mais pas contre une erreur humaine, un ransomware ou un sinistre.
→ Systèmes de fichiers
(RAM, Random Access Memory, mémoire vive) — Mémoire rapide mais volatile qui stocke les
données utilisées activement par les programmes en cours d'exécution. Tout son contenu
disparaît à l'extinction de la machine, contrairement au stockage.
→ Anatomie d'une machine
(ransomware) — Logiciel malveillant qui chiffre les données d'une machine pour en exiger une
rançon. Un RAID ne protège pas contre ce risque : le chiffrement malveillant est répercuté comme
n'importe quelle écriture, sur tous les disques du RAID.
→ RAID n'est pas une sauvegarde
(recoverability) — Capacité à restaurer des données après une perte provoquée par une erreur
humaine, un ransomware ou un sinistre. Apportée uniquement par une sauvegarde — pas par la
redondance matérielle du RAID, qui n'apporte que de la disponibilité.
→ RAID n'est pas une sauvegarde
(port forwarding) — Configuration sur une box internet qui indique explicitement vers quelle
machine et quel port du réseau local rediriger une connexion entrante sur un port donné. Seule
action qui rend un service local joignable depuis Internet.
→ NAT et box
(3-2-1 rule) — Standard de sauvegarde : 3 copies des données, sur 2 supports différents, dont
1 copie hors site. Répond directement aux limites du RAID en variant à la fois le support et le
lieu de conservation.
→ La règle 3-2-1
(DNS resolution) — Processus par lequel un nom de domaine est traduit en adresse IP, en
interrogeant un résolveur qui remonte, si besoin, la hiérarchie des serveurs DNS compétents pour
ce domaine.
→ DNS
(reverse proxy) — Serveur qui reçoit les requêtes destinées à plusieurs services internes et
les redirige selon le nom demandé, tout en présentant une seule adresse vue de l'extérieur.
Centralise aussi souvent le TLS.
→ Reverse proxy
(RFC 1918) — Document technique qui réserve trois plages d'adresses IP à un usage privé
(10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), jamais routées directement sur Internet.
→ Privé vs public
(rollback) — Retour à une version antérieure d'un service après une mise à jour problématique.
Facilité par la convention du tag figé, mais ne restaure pas automatiquement des données déjà
transformées par la nouvelle version.
→ Mises à jour : procédure sans casse
(root, super-utilisateur) — Compte disposant de tous les droits sur un système Linux, sans
restriction. On évite d'y travailler en permanence au quotidien : on utilise un compte normal et
on demande les droits root ponctuellement via sudo.
→ Utilisateurs et permissions
(runbook) — Procédure écrite, étape par étape, pour diagnostiquer et résoudre un incident
précis et récurrent. Pensée pour être suivie mécaniquement pendant l'incident, pas comprise en
profondeur à ce moment-là.
→ Runbooks
(SATA, Serial ATA) — Interface de connexion pour disques durs et SSD d'entrée/milieu de
gamme, historiquement conçue pour les disques mécaniques. Plus lente que le PCIe utilisé par les
disques NVMe.
→ Stockage
(self-hosting, auto-hébergement) — Le fait d'héberger soi-même un service (fichiers, mots de
passe, photos...) plutôt que de confier cette tâche à une entreprise tierce. Une des
motivations principales pour monter un homelab.
→ Pourquoi un homelab ?
(service) — Un programme conçu pour tourner en continu et répondre à des demandes, par
opposition à une application qu'on ouvre et ferme ponctuellement. Un serveur web, une base de
données, un gestionnaire de mots de passe auto-hébergé sont tous des services.
→ Pourquoi un homelab ?
(setgid bit) — Permission spéciale sur un dossier Linux qui fait que tout nouveau fichier créé
à l'intérieur hérite automatiquement du groupe du dossier parent, quel que soit l'UID du
processus qui l'a créé. Solution courante aux erreurs de permission sur les bind mounts partagés.
→ Permissions des volumes
(threshold) — Valeur limite définie pour une métrique, au-delà de laquelle une alerte se
déclenche. Un bon seuil se détermine après observation du comportement normal, pas par une
valeur devinée arbitrairement.
→ Exploiter sa supervision au quotidien
(SHA-256, Secure Hash Algorithm 256-bit) — Fonction qui calcule une empreinte unique d'un
fichier, utilisée pour vérifier qu'il n'a pas été corrompu ou modifié après sa publication
officielle — par exemple une image ISO téléchargée.
→ Installer Ubuntu Server
(shell) — Programme qui interprète les commandes tapées en ligne de commande et les transmet
au noyau. bash est le shell le plus courant sous Linux.
→ La ligne de commande
(S.M.A.R.T., Self-Monitoring, Analysis and Reporting Technology) — Ensemble de statistiques
internes qu'un disque tient sur sa propre santé (heures de fonctionnement, secteurs
défectueux...). À vérifier systématiquement avant l'achat d'un disque d'occasion.
→ Stockage
(snap) — Système de paquets confinés propre à Ubuntu. Pratique pour beaucoup de logiciels,
mais son confinement peut casser silencieusement certains bind mounts Docker — une raison de
préférer le dépôt officiel Docker pour l'installer.
→ Installer Ubuntu Server
(SNI, Server Name Indication) — Extension du protocole TLS qui indique, dès le début d'une
connexion chiffrée, quel nom de domaine est demandé. C'est ce qui permet à un reverse proxy de
router correctement plusieurs services HTTPS derrière une seule adresse.
→ Reverse proxy
(socket) — Point de terminaison concret d'une connexion réseau : la combinaison d'une adresse
IP et d'un port, côté client comme côté serveur. Permet à un serveur de distinguer des milliers
de connexions simultanées les unes des autres.
→ Le modèle client/serveur
(Docker socket, /var/run/docker.sock) — Point d'accès par lequel un programme communique
avec Docker. Quiconque peut y accéder peut créer un conteneur avec n'importe quel montage —
donner accès à ce socket équivaut, en pratique, à un accès root sur la machine hôte.
→ Fiche service : Portainer
(subnet) — Découpage plus fin d'un réseau plus large, utile pour séparer logiquement des
groupes de machines. Un homelab de départ n'a généralement besoin que d'un seul sous-réseau
plat.
→ Adressage IP
(split-horizon DNS) — Configuration DNS qui répond différemment selon que la requête vient de
l'intérieur ou de l'extérieur d'un réseau. Un homelab de départ n'a généralement besoin que du
volet « intérieur », pour des noms qui n'existent nulle part sur Internet public.
→ DNS
(ss, socket statistics) — Outil qui liste les sockets en écoute sur une machine, avec leur port
et le processus propriétaire. Le successeur moderne de netstat, la première commande à lancer
pour diagnostiquer un service injoignable.
→ Le modèle client/serveur
(SSD, Solid State Drive) — Disque de stockage sans pièce mobile, basé sur de la mémoire flash.
Plus rapide, plus silencieux et plus résistant aux chocs qu'un HDD, à un coût au gigaoctet plus
élevé.
→ Stockage
(SSH, Secure Shell) — Protocole standard pour administrer une machine Linux à distance, en
ligne de commande, de façon chiffrée. L'authentification s'y fait généralement par clé plutôt
que par mot de passe, plus résistante à la force brute, au phishing et à la réutilisation.
→ SSH et clés
(stack) — Ensemble de conteneurs formant un tout cohérent, décrit dans un seul fichier
compose.yaml et démarré/arrêté ensemble. Le terme utilisé dans ce dépôt pour désigner un
service Docker complet, fichier compris.
→ Un compose.yaml décortiqué
(standalone) — Mode de fonctionnement où un outil (par exemple Portainer) administre
uniquement la machine sur laquelle il tourne, par opposition à un mode agent qui centralise
l'administration de plusieurs machines.
→ Fiche service : Portainer
(storage) — Composant qui conserve les données de façon permanente (système d'exploitation,
fichiers, bases de données), contrairement à la RAM qui les perd à l'extinction. Plus lent
d'accès que la RAM, mais indispensable pour tout ce qui doit survivre à un redémarrage.
→ Anatomie d'une machine
(sudo, substitute user do) — Commande qui permet à un utilisateur autorisé d'exécuter une
commande précise avec les droits de root, après confirmation par mot de passe. Configurer
sudo sans mot de passe (NOPASSWD) est déconseillé : la seule possession du compte suffirait
alors à obtenir un accès root complet.
→ Utilisateurs et permissions
(systemd) — Système qui démarre, surveille et arrête les démons sur la quasi-totalité des
distributions Linux modernes. Premier processus lancé au démarrage (PID 1), il pilote ensuite
tous les autres services via des unités et l'outil systemctl.
→ Processus et services
(filesystem) — Organisation qui détermine comment les données sont stockées et retrouvées sur
un disque : quels blocs appartiennent à quel fichier, quels noms et métadonnées lui sont
associés. ext4 est le système de fichiers par défaut sous Linux.
→ Systèmes de fichiers
(tag) — Étiquette de version accolée au nom d'une image Docker (nginx:1.25). Un tag figé
garantit qu'une mise à jour ne se produit que si on la décide explicitement — contrairement au
tag latest, qui change dans le temps.
→ Un compose.yaml décortiqué
(TCP, Transmission Control Protocol) — Protocole de transport fiable, qui garantit l'ordre et
la livraison des données (HTTP, SSH l'utilisent). Repérable dans ss -tulnp par le -t, par
opposition à UDP.
→ Le modèle client/serveur
(tcpdump) — Outil qui capture le contenu réel des paquets transitant sur une interface réseau.
Le plus détaillé et le plus puissant des outils de diagnostic réseau — réservé aux cas où les
autres n'ont pas suffi.
→ Diagnostic réseau
(TLS, Transport Layer Security) — Protocole qui chiffre une connexion réseau et authentifie le
serveur auquel on se connecte. HTTPS est HTTP transporté sur une connexion TLS.
→ TLS et certificats
(TTL, Time To Live) — Durée pendant laquelle une réponse DNS reste valide en cache avant
d'être redemandée. Un changement DNS qui semble ne jamais prendre effet est souvent simplement
en attente d'expiration de ce TTL.
→ DNS
(traceroute) — Outil qui révèle chaque étape (routeur) traversée entre une machine et une
destination réseau, avec le temps de trajet jusqu'à chacune. Utile pour situer où un trafic
s'arrête quand il n'atteint jamais sa destination.
→ Diagnostic réseau
(Traefik) — Reverse proxy alternatif à Nginx Proxy Manager, orienté configuration déclarative
et intégration automatique avec Docker. Un choix d'architecture différent, non déployé sur notre
installation.
→ Fiche service : Nginx Proxy Manager
(UDP, User Datagram Protocol) — Protocole de transport sans garantie d'ordre ni de livraison,
plus léger que TCP (DNS, streaming vidéo l'utilisent souvent). Repérable dans ss -tulnp par le
-u.
→ Le modèle client/serveur
(ufw, Uncomplicated Firewall) — Interface simplifiée de configuration du pare-feu, la plus
courante sous Ubuntu. Filtre la chaîne INPUT du pare-feu du noyau — mais ne voit pas le trafic
que Docker redirige lui-même via d'autres chaînes.
→ Pare-feu
(UID, User ID) — Identifiant numérique d'un utilisateur Linux. Un processus dans un conteneur
Docker s'exécute avec un UID propre à son image, pas forcément celui de l'utilisateur de la
machine hôte — source fréquente d'erreurs de permission sur les bind mounts.
→ Permissions des volumes
(unit) — Fichier de configuration décrivant, pour systemd, comment démarrer un service :
commande à lancer, redémarrage automatique ou non en cas de plantage, dépendances vis-à-vis
d'autres unités (comme le réseau).
→ Processus et services
(versioning) — Capacité d'un outil de sauvegarde à conserver plusieurs instantanés dans le
temps, et pas seulement le dernier état synchronisé. Apporté par Restic ou Borg, absent de
rsync seul — utile face à une corruption découverte après coup.
→ La règle 3-2-1
(VM, machine virtuelle) — Simulation d'un ordinateur complet par un hyperviseur, avec son
propre noyau et son propre système d'exploitation, isolée des autres VM de la même machine
physique. Isolation maximale, coût en ressources le plus élevé des trois approches comparées.
→ VM vs conteneur vs LXC
(VPN, Virtual Private Network) — Tunnel chiffré qui fait apparaître un appareil distant comme
s'il se trouvait sur le réseau local. Permet un accès personnel à ses services depuis
l'extérieur, sans les exposer à tout Internet — non testé sur notre installation à ce jour.
→ Exposer ou non
(volume) — Espace de stockage qui survit à la suppression d'un conteneur Docker, géré
entièrement par Docker (par opposition à un bind mount, qui pointe vers un dossier précis de la
machine hôte).
→ Docker en profondeur
(watt, W) — Unité de mesure de la puissance électrique instantanée consommée par un appareil.
Indiqué sur l'alimentation d'une machine. Sert de base au calcul du coût électrique annuel
(W × 24 × 365 ÷ 1000 × prix du kWh).
→ Le coût total, honnêtement
(power meter) — Appareil branché entre une prise électrique et une machine, qui mesure
directement sa consommation réelle. La méthode la plus fiable pour connaître un chiffre à
utiliser dans le calcul du coût électrique annuel, plus fiable qu'une fiche technique.
→ Budget électrique
(wildcard certificate) — Certificat couvrant tous les sous-domaines d'un nom
(*.internal), plutôt qu'un seul nom précis. Évite d'avoir à régénérer un certificat à chaque
nouveau service local ajouté.
→ TLS et certificats
Cette formation est proposée par Deladev, studio web de Loïc D. — création de sites et d'applications, accompagnement et formation sur mesure.
Les projets réalisés · Prestations et tarifs · Le blog tech · Me contacter
Écrite par Loïc D. avec l'assistance de Claude (Anthropic) — un travail à deux.
© 2026 Deladev — publiée sous licence CC BY-NC-ND 4.0. Vous pouvez la lire, y renvoyer par un lien, la partager et la citer en créditant la source. La revendre, l'utiliser dans une prestation ou une formation payante, la republier même partiellement ailleurs, en diffuser une version modifiée ou l'exploiter pour entraîner un modèle d'IA nécessitent une autorisation écrite — pour un usage interne en entreprise, c'est souvent oui, il suffit de demander.