From 11fb77c7183324c85c0949835bd06b60e10a40d3 Mon Sep 17 00:00:00 2001 From: Gabriel Radureau Date: Thu, 8 Oct 2026 08:42:58 +0200 Subject: [PATCH] =?UTF-8?q?fix(crowdsec)=20=E2=80=94=20urgence=20:=20la=20?= =?UTF-8?q?LAPI=20d=C3=A9marre=20sans=20l'API=20centrale,=20qui=20refuse?= =?UTF-8?q?=20notre=20instance=20(403)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Après #64, la LAPI plante encore : « authenticate watcher (…) : API error: Forbidden », fatal ; le CDN du hub répond 403 aussi. DISABLE_ONLINE_API=true retire online_client de la config au démarrage (docker_start.sh) : les décisions locales tiennent, la liste communautaire ne descend plus. Réversible : retirer la variable, le script remet online_client. Co-Authored-By: Claude Opus 5.5 --- crowdsec/values.yaml | 10 ++++++++++ 1 file changed, 10 insertions(+) diff --git a/crowdsec/values.yaml b/crowdsec/values.yaml index cbeb94c..65fe23c 100644 --- a/crowdsec/values.yaml +++ b/crowdsec/values.yaml @@ -100,6 +100,16 @@ crowdsec: &crowdsec_config valueFrom: fieldRef: fieldPath: metadata.labels['machine-name'] + # ⚠ MESURE D'URGENCE (2026-10-08, ~06:40Z) : l'API centrale de CrowdSec + # (CAPI) REFUSE notre instance — « authenticate watcher (…) : API error: + # Forbidden », FATAL au démarrage — et le CDN du hub répond 403 lui aussi. + # Sans LAPI, le videur de Traefik refuse tout *.arcodange.fr. On démarre + # donc la LAPI SANS l'API centrale : les décisions locales (agent, appsec) + # tiennent, la liste de blocage communautaire ne descend plus. À rouvrir + # quand la cause du refus est connue (instance révoquée ? les 594 LAPI + # fantômes de #56 ? version 1.7.0 retirée ?) : retirer cette variable. + - name: DISABLE_ONLINE_API + value: "true" # ⚠ PAS d'ENROLL_KEY ici (retirée le 2026-10-08). Le script de démarrage # appelle `cscli console enroll` à CHAQUE démarrage quand la clé est posée, # et un refus de la console (api.crowdsec.net → 403 Forbidden) TUE le -- 2.54.0