Un registre des choix architecturaux structurants de l'exemple suivi dans ce wiki, avec leur
« pourquoi » — dans l'esprit du Journal de bord
recommandé en M8, appliqué à l'exemple lui-même. Chaque ligne renvoie à la page qui explique la
notion en détail.
| Décision | Alternative écartée | Pourquoi | Détail |
|---|---|---|---|
| Docker Engine natif, sans hyperviseur | Docker dans une VM (l'architecture du tout premier essai) | Accès matériel direct (GPU), métriques qui mesurent la vraie machine, pas de couche d'abstraction supplémentaire à comprendre | M4 |
IP statique via netplan |
Réservation DHCP côté box | Leçon tirée d'un matériel précédent dont l'adresse MAC changeait à chaque reconnexion Wi-Fi | M2, M3 |
| Docker installé depuis le dépôt officiel | Paquet générique de la distribution | Versions à jour, Compose v2 et buildx inclus |
M4 |
Bind mounts (/srv/docker/<service>) |
Volumes nommés Docker | Chemin explicite, facile à localiser et sauvegarder manuellement | M4 |
Groupe dédié + bit setgid pour les permissions de volumes |
PUID/PGID ou user: systématiques |
Solution structurelle qui couvre la majorité des cas sans configuration par service ; les deux autres restent utilisées au cas par cas | M4 |
| Tag d'image toujours figé | latest |
Aucune mise à jour silencieuse ; chaque changement de version est explicite et réversible | M4 |
Réseau Docker nommé partagé (npm_proxy) |
Un réseau isolé par stack | Permet au reverse proxy de joindre chaque service par son nom de conteneur | M2 |
Port publié en 127.0.0.1 par défaut |
Publication large + règle de pare-feu | Le reverse proxy fait la façade réseau ; le service lui-même n'a besoin d'être joignable que localement | M2, M7 |
| TLS local via mkcert | Certificats auto-signés sans autorité, ou Let's Encrypt | Certificats reconnus sur le réseau local, sans jamais exposer un domaine publiquement | M2 |
Résolution .internal via /etc/hosts client |
Serveur DNS local dédié (Pi-hole, dnsmasq) | Plus simple à mettre en place pour peu de machines clientes — limite assumée, amélioration possible identifiée | M2 |
NOPASSWD jamais activé sur sudo |
Sudo sans mot de passe pour simplifier l'administration à distance | Une clé SSH seule ne doit jamais suffire à obtenir un accès root complet | M1, M7 |
| Aucune exposition publique | Redirection de port pour un accès distant | Élimine la quasi-totalité de la surface d'attaque venue d'Internet, pour un projet qui n'en a pas besoin | M7 |
| Nginx Proxy Manager comme reverse proxy | Traefik | Interface graphique plutôt que configuration déclarative — un choix d'usage, pas comparé en profondeur | M6 |
| Manque | Pourquoi ce n'est pas encore réglé | Détail |
|---|---|---|
| Aucune sauvegarde en place | Priorité donnée jusqu'ici à l'installation, la sécurisation et la supervision — pas un désaccord sur son importance | M5 |
| Aucune alerte automatique configurée | Dashboards en place et consultés, mais pas encore de règles d'alerte actives | M8 |
| Loki sans volume persistant | Identifié comme correctif à apporter, pas encore réalisé | M8 |
| Aucune procédure de mise à jour avec rollback testée | Convention du tag figé en place, mais jamais exercée en situation réelle de retour en arrière | M8 |
Ce deuxième tableau n'est pas une liste de reproches à cet exemple — c'est la démonstration que
documenter honnêtement un manque, plutôt que le taire, fait partie de la méthode suivie tout au
long de ce wiki.
Cette formation est proposée par Deladev, studio web de Loïc D. — création de sites et d'applications, accompagnement et formation sur mesure.
Les projets réalisés · Prestations et tarifs · Le blog tech · Me contacter
Écrite par Loïc D. avec l'assistance de Claude (Anthropic) — un travail à deux.
© 2026 Deladev — publiée sous licence CC BY-NC-ND 4.0. Vous pouvez la lire, y renvoyer par un lien, la partager et la citer en créditant la source. La revendre, l'utiliser dans une prestation ou une formation payante, la republier même partiellement ailleurs, en diffuser une version modifiée ou l'exploiter pour entraîner un modèle d'IA nécessitent une autorisation écrite — pour un usage interne en entreprise, c'est souvent oui, il suffit de demander.