crowdsec — aspiration de la forge : l'agent était aveugle, deux scénarios la bannissent (24 h, portée Ip) (#66)

doc/ce-que-traefik-voit.md

@@ -211,6 +211,26 @@ mais à l'IP résolue. La convention `.fr` (« crowdsec devant tout ») tient do
 ce qu'elle promet. Écrit ici pour que personne ne « corrige » cette ligne en
 croyant reproduire le piège A.
 
+> ⚠ **Mise à jour du 2026-10-08 — juger la bonne IP ne suffisait pas.** Deux
+> limites que ce constat ne pouvait pas voir, mesurées pendant l'aspiration de
+> la forge :
+>
+> 1. **L'agent ne lisait rien.** Les journaux de conteneurs de pi1 pointent sous
+>    `/mnt/arcodange/docker` (racine Docker déplacée), que l'agent ne montait
+>    pas : `Error setting up tail for /var/log/containers/traefik-…` à chaque
+>    démarrage, aucune ligne lue, aucun scénario HTTP n'a jamais débordé.
+>    Corrigé dans `crowdsec/values.yaml` (`agent.extraVolumes`).
+> 2. **Un ban de plage n'est pas appliqué.** En mode `stream`, le plugin
+>    (v1.3.3 ici, et toujours sur sa branche principale) range chaque décision
+>    par sa valeur exacte et cherche l'adresse du client telle quelle :
+>    `cscli decisions add --range 16.216.88.0/24` laissait passer
+>    `16.216.88.122` (`isBanned:false cache:miss`). Les scénarios maison
+>    gardent donc une portée **Ip**, et un ban manuel de plage se fait adresse
+>    par adresse (`cscli decisions import`). Le mode `live` interrogerait la
+>    LAPI (`/v1/decisions?ip=…`), qui, elle, rend la décision de plage pour une
+>    adresse qu'elle contient (vérifié sur une LAPI v1.7.0 locale) — au prix
+>    d'un appel par adresse nouvelle.
+
 ---
 
 **Où vit quoi** (aucun de ces réglages n'est dans ce dépôt — vérifié) :