Le runner du laptop ne résout pas *.arcodange.lab dans ses conteneurs de job (curl sort en 6 sur webapp.arcodange.lab pendant le passage OIDC, run 10015) ; les runners des pi le font par --add-host. Le job pose la même résolution (ingress 192.168.1.201) seulement si elle manque.
Co-Authored-By: Claude Opus 5.5 <[email protected]>
dflook/terraform-apply est une action CONTENEUR ; depuis 93e7abf (2026-08-26) les conteneurs de job reçoivent --add-host, et Docker refuse de lancer le conteneur de l'action dans le réseau du job (« conflicting options: custom host-to-IP mapping and the network mode », run 10014 sur pi3). Le dernier apply réussi datait du 2026-07-24 (pi1). OpenTofu s'installe désormais par opentofu/setup-opentofu (JavaScript) et tourne dans ubuntu-latest-ca. Un dispatch peut demander mode=plan pour lire le plan sans rien appliquer ; un push applique comme avant.
Co-Authored-By: Claude Opus 5.5 <[email protected]>
La règle forge_registre_ferme (cms/cloudflare/waf.tf, cloudflare_ruleset de phase http_request_firewall_custom) ferme le registre de la forge sur le nom public. Gratuit (5 règles au forfait Free). Ajouter le nom remplace le jeton (replace_triggered_by) : le secret Gitea CLOUDFLARE_API_TOKEN de cms et Vault suivent dans le même apply.
Co-Authored-By: Claude Opus 5.5 <[email protected]>
arcodange
