Administration

Tout ce qui concerne l'exploitation : sauvegardes, mises à jour, clés d'API, sécurité et dépannage. Ces manipulations se font en ligne de commande, sur le serveur.

Se connecter au serveur

L'accès se fait uniquement par clé SSH — le mot de passe est désactivé, ce qui rend les attaques par force brute inopérantes.

ssh -i /chemin/vers/manus_vps root@152.228.174.26

Conservez la clé privée en lieu sûr (gestionnaire de mots de passe). Sans elle, l'accès passe par le mode « rescue » du gestionnaire OVH : c'est faisable, mais nettement plus long.

Clés d'API

Chaque outil possède une clé, ce qui permet de les faire communiquer entre eux (par exemple, n8n qui interroge DocuSeal). Elles sont stockées sur le serveur, lisibles uniquement par le compte administrateur :

ssh root@152.228.174.26 'cat /root/api-keys/n8n.txt'

Outil	En-tête d'authentification	Fichier sur le serveur
n8n	`X-N8N-API-KEY`	`/root/api-keys/n8n.txt`
DocuSeal	`X-Auth-Token`	`/root/api-keys/docuseal.txt`
Assistant IA	`Authorization: Bearer`	`/root/api-keys/open-webui.txt`
Mailcow	`X-API-Key`	`/root/api-keys/mailcow.txt`

Exemple de vérification, depuis n'importe quelle machine :

curl -H "X-N8N-API-KEY: <clé>" https://n8n.ecoclima.energy/api/v1/workflows

Ce sont des secrets. Ne les placez jamais dans un document partagé, un courriel ou un dépôt de code public. Pour renouveler la clé n8n : interface n8n, « Settings » → « n8n API ».

Sauvegardes

Une sauvegarde complète — bases de données et volumes (documents, courriers, workflows) — s'exécute chaque nuit à 3 h 30, avec conservation sur sept jours. Un contrôle de santé suit à 8 h.

# sauvegarde manuelle immédiate
/opt/stack/scripts/backup.sh

# liste des sauvegardes
ls -lh /opt/backups/

Point important : ces sauvegardes sont sur le serveur lui-même. Copiez-les régulièrement ailleurs (stockage objet OVH, disque externe, autre machine) : une sauvegarde qui vit sur le serveur qu'elle protège ne protège de rien en cas de perte du serveur.

Mises à jour

# mettre à jour les outils et redémarrer ce qui a changé
/opt/stack/scripts/update.sh

Le script récupère les dernières versions des images, redémarre les services concernés et laisse les certificats se renouveler seuls.

Contrôle de santé

/opt/stack/scripts/healthcheck.sh

Le contrôle vérifie l'état de chaque conteneur, la réponse des sites en HTTPS, l'ouverture des ports de messagerie et la validité de la clé antispam.

Sécurité en place

Pare-feu : seuls les ports 22 (administration), 80 et 443 (web) sont ouverts.
fail2ban : bloque les adresses qui multiplient les tentatives de connexion.
SSH par clé uniquement, mot de passe désactivé.
HTTPS partout, certificats Let's Encrypt renouvelés automatiquement.
Mises à jour de sécurité du système appliquées automatiquement.
Antispam : Rspamd avec la liste Spamhaus en accès direct.
Secrets générés aléatoirement (64 caractères) et stockés avec des droits restrictifs.

Que faire si…

Symptôme	Première vérification
Un site ne répond plus	`cd /opt/stack && docker compose ps` puis `docker compose logs <service>`
Les courriels ne partent pas	vérifier le relais d'envoi dans `/opt/stack/.env.mail` (OVH bloque le port 25 sortant)
Les invitations de signature n'arrivent pas	même cause : l'envoi de DocuSeal utilise le relais de `.env.mail`
Le disque se remplit	`docker system df` et purge de l'historique des exécutions n8n
Un service redémarre en boucle	`docker compose logs --tail 50 <service>` pour lire l'erreur exacte

Ressources

Au repos, la pile consomme environ 1 Go de mémoire sur les 12 Go disponibles. La messagerie ajoute ses propres conteneurs. Le disque héberge les images, les documents signés, les courriers et les sauvegardes : surveillez l'espace libre une fois par mois avec df -h.