fix(crowdsec) — urgence : la LAPI démarre sans l'API centrale, qui refuse notre instance (403)

Après #64, la LAPI plante encore : « authenticate watcher (…) : API error: Forbidden », fatal ; le CDN du hub répond 403 aussi. DISABLE_ONLINE_API=true retire online_client de la config au démarrage (docker_start.sh) : les décisions locales tiennent, la liste communautaire ne descend plus. Réversible : retirer la variable, le script remet online_client.

Co-Authored-By: Claude Opus 5.5 <[email protected]>

crowdsec/values.yaml

@@ -100,6 +100,16 @@ crowdsec: &crowdsec_config
         valueFrom:
           fieldRef:
             fieldPath: metadata.labels['machine-name']
+      # ⚠ MESURE D'URGENCE (2026-10-08, ~06:40Z) : l'API centrale de CrowdSec
+      # (CAPI) REFUSE notre instance — « authenticate watcher (…) : API error:
+      # Forbidden », FATAL au démarrage — et le CDN du hub répond 403 lui aussi.
+      # Sans LAPI, le videur de Traefik refuse tout *.arcodange.fr. On démarre
+      # donc la LAPI SANS l'API centrale : les décisions locales (agent, appsec)
+      # tiennent, la liste de blocage communautaire ne descend plus. À rouvrir
+      # quand la cause du refus est connue (instance révoquée ? les 594 LAPI
+      # fantômes de #56 ? version 1.7.0 retirée ?) : retirer cette variable.
+      - name: DISABLE_ONLINE_API
+        value: "true"
       # ⚠ PAS d'ENROLL_KEY ici (retirée le 2026-10-08). Le script de démarrage
       # appelle `cscli console enroll` à CHAQUE démarrage quand la clé est posée,
       # et un refus de la console (api.crowdsec.net → 403 Forbidden) TUE le