docs(watchtower): le PAT de pull doit couvrir Bonsai, plus seulement Luz

Le commentaire disait qu'un PAT read:package sur l'org Luz suffisait — c'était
vrai tant que Luz était seul à publier des images. La stack bonsai tire désormais
bonsai-api du même registre avec les mêmes identifiants : un PAT limité à Luz la
laisserait bloquée sur son ancienne image, sans rien signaler.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

bonsai-api/.env.example

@@ -1,4 +0,0 @@
-# Mot de passe PostgreSQL partagé entre le container db et l'API Spring Boot.
-# Copier ce fichier en .env et définir une valeur sécurisée avant de démarrer.
-#   cp .env.example .env
-POSTGRES_PASSWORD=changeme

bonsai-api/docker-compose.yml

@@ -1,54 +0,0 @@
-name: bonsai-api-stack
-
-services:
-  db:
-    image: postgres:16-alpine
-    container_name: bonsai-api-db
-    restart: unless-stopped
-    environment:
-      POSTGRES_DB: bonsai
-      POSTGRES_USER: bonsai
-      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}
-      TZ: Europe/Paris
-    healthcheck:
-      test: ["CMD-SHELL", "pg_isready -U bonsai -d bonsai"]
-      interval: 10s
-      timeout: 5s
-      retries: 5
-    volumes:
-      - ~/Applications/data/bonsai-api/db_data:/var/lib/postgresql/data
-    networks:
-      - bonsai-api-net
-
-  api:
-    image: git.goutailler-olivier.com/bonsai/bonsai-api:latest
-    container_name: bonsai-api
-    restart: unless-stopped
-    depends_on:
-      db:
-        condition: service_healthy
-    environment:
-      DATASOURCE_URL: jdbc:postgresql://db:5432/bonsai
-      DATASOURCE_USERNAME: bonsai
-      DATASOURCE_PASSWORD: ${POSTGRES_PASSWORD}
-      KEYCLOAK_JWKS_URI: https://auth.goutailler-olivier.com/realms/bonsai/protocol/openid-connect/certs
-      CORS_ALLOWED_ORIGIN_PROD: https://bonsai.goutailler-olivier.com
-      TZ: Europe/Paris
-    networks:
-      - bonsai-api-net
-      - proxy
-    labels:
-      - traefik.enable=true
-      - traefik.http.routers.bonsai-api.rule=Host(`bonsai.goutailler-olivier.com`) && PathPrefix(`/api`)
-      - traefik.http.routers.bonsai-api.entrypoints=websecure
-      - traefik.http.routers.bonsai-api.tls.certresolver=le
-      - traefik.http.services.bonsai-api.loadbalancer.server.port=8080
-      - traefik.docker.network=proxy
-      - com.centurylinklabs.watchtower.enable=true
-
-networks:
-  bonsai-api-net:
-    driver: bridge
-  proxy:
-    external: true
-    name: proxy

bonsai-webapp/docker-compose.yml

@@ -1,27 +0,0 @@
-name: bonsai-webapp
-
-services:
-  bonsai-webapp:
-    image: git.goutailler-olivier.com/bonsai/bonsai-webapp:latest
-    container_name: bonsai-webapp
-    restart: unless-stopped
-
-    environment:
-      TZ: Europe/Paris
-
-    networks:
-      - proxy
-
-    labels:
-      - traefik.enable=true
-      - traefik.http.routers.bonsai-webapp.rule=Host(`bonsai.goutailler-olivier.com`)
-      - traefik.http.routers.bonsai-webapp.entrypoints=websecure
-      - traefik.http.routers.bonsai-webapp.tls.certresolver=le
-      - traefik.http.services.bonsai-webapp.loadbalancer.server.port=80
-      - traefik.docker.network=proxy
-      - com.centurylinklabs.watchtower.enable=true
-
-networks:
-  proxy:
-    external: true
-    name: proxy

bonsai/.env.example

@@ -1,4 +1,8 @@
-# Mot de passe PostgreSQL partagé entre le container db et l'API Spring Boot.
-# Copier ce fichier en .env et définir une valeur sécurisée avant de démarrer.
+# Copier ce fichier en .env et adapter les valeurs avant de démarrer.
 #   cp .env.example .env
+
+# Mot de passe PostgreSQL partagé entre le container db et l'API Spring Boot.
 POSTGRES_PASSWORD=changeme
+
+# Chemin absolu vers la clé SSH privée ayant accès au dépôt Gitea.
+SSH_KEY_PATH=/home/gato/.ssh/id_ed25519

bonsai/Dockerfile.api

@@ -1,17 +0,0 @@
-# syntax=docker/dockerfile:1
-
-FROM eclipse-temurin:25-jdk AS builder
-RUN apt-get update && apt-get install -y git openssh-client && rm -rf /var/lib/apt/lists/*
-RUN mkdir -p /root/.ssh && \
-    ssh-keyscan -p 2222 git.goutailler-olivier.com >> /root/.ssh/known_hosts
-RUN --mount=type=ssh \
-    --mount=type=cache,target=/root/.gradle \
-    git clone --depth 1 --branch main \
-      ssh://git@git.goutailler-olivier.com:2222/Gato/Bonsai-api.git /src && \
-    cd /src && ./gradlew bootJar --no-daemon -q
-
-FROM eclipse-temurin:25-jre-alpine
-WORKDIR /app
-COPY --from=builder /src/build/libs/*.jar app.jar
-EXPOSE 8080
-ENTRYPOINT ["java", "-jar", "app.jar"]

bonsai/Dockerfile.webapp

@@ -2,10 +2,13 @@
 
 FROM node:22-alpine AS builder
 RUN apk add --no-cache git openssh
-RUN mkdir -p /root/.ssh && \
-    ssh-keyscan -p 2222 git.goutailler-olivier.com >> /root/.ssh/known_hosts
-RUN --mount=type=ssh \
+ARG CACHEBUST
+RUN --mount=type=secret,id=ssh_key \
     --mount=type=cache,target=/root/.npm \
+    mkdir -p /root/.ssh && \
+    cp /run/secrets/ssh_key /root/.ssh/id_ed25519 && \
+    chmod 600 /root/.ssh/id_ed25519 && \
+    ssh-keyscan -p 2222 git.goutailler-olivier.com >> /root/.ssh/known_hosts && \
     git clone --depth 1 --branch main \
       ssh://git@git.goutailler-olivier.com:2222/Gato/Bonsai-webapp.git /src && \
     cd /src && npm ci --cache /root/.npm && npm run build

bonsai/README.md

@@ -2,48 +2,63 @@
 
 Stack Docker Compose unifiée pour l'application Bonsai : base de données, API et webapp.
 
-Les images sont **buildées depuis les sources** de la branche `main` de chaque dépôt au moment du build.
+Les deux composants ne se déploient pas de la même façon :
+
+- **`api`** — image **tirée du registre Gitea** (`git.goutailler-olivier.com/bonsai/bonsai-api:main`), publiée par la CI du dépôt `Bonsai-api` (`.gitea/workflows/images.yml`) à chaque merge sur `main`. Le redéploiement est automatique : le conteneur porte le label `com.centurylinklabs.watchtower.enable=true`, donc Watchtower (`../watchtower/`) le recrée dès qu'une nouvelle image est publiée. Rien à builder sur le serveur.
+- **`webapp`** — toujours **buildé depuis les sources** de la branche `main` du dépôt `Bonsai-webapp`. La clé SSH est transmise au build via un secret BuildKit — elle n'est jamais gravée dans les couches de l'image.
 
 ## Services
 
-| Service | Image de base | Source |
-|---------|--------------|--------|
+| Service | Image | Provenance |
+|---------|-------|------------|
 | `db` | `postgres:16-alpine` | — |
-| `api` | `eclipse-temurin:25-jdk` → `25-jre-alpine` | `Bonsai-api` (branche `main`) |
-| `webapp` | `node:22-alpine` → `nginx:alpine` | `Bonsai-webapp` (branche `main`) |
+| `api` | `git.goutailler-olivier.com/bonsai/bonsai-api:main` | CI de `Bonsai-api` (merge sur `main`) |
+| `webapp` | `node:22-alpine` → `nginx:alpine` | build local depuis `Bonsai-webapp` (branche `main`) |
 
 ## Prérequis
 
 - Docker avec BuildKit activé (Docker 23+)
-- Accès SSH au dépôt Gitea (`git.goutailler-olivier.com:2222`) avec la clé chargée dans l'agent
+- Une clé SSH ayant accès au dépôt Gitea (`git.goutailler-olivier.com:2222`) — pour le build du `webapp`
 - Réseau Docker externe `proxy` (Traefik)
+- De quoi tirer les images privées de l'org **Bonsai** : soit un `docker login git.goutailler-olivier.com` fait une fois en root sur le serveur, soit les `REPO_USER`/`REPO_PASS` de la stack Watchtower, dont le PAT doit porter le scope `read:package` sur l'org Bonsai. Sans cela, Watchtower échoue silencieusement à tirer l'image (`unauthorized: reqPackageAccess`) et la prod reste sur l'ancienne version, alors que l'appel à `/v1/update` répond bien 200.
 
 ## Démarrage
 
 ```bash
 # 1. Configurer les variables d'environnement
 cp .env.example .env
-# Éditer .env et définir POSTGRES_PASSWORD
+# Éditer .env : définir POSTGRES_PASSWORD et SSH_KEY_PATH
 
-# 2. S'assurer que la clé SSH est chargée
-ssh-add ~/.ssh/<ta_cle>
+# 2. Tirer l'image de l'API + builder le webapp
+docker compose pull
+docker compose build
 
-# 3. Builder les images (clone + compile)
-docker compose build --ssh default
-
-# 4. Démarrer la stack
+# 3. Démarrer la stack
 docker compose up -d
 ```
 
 ## Mise à jour
 
-Pour rebuilder depuis le dernier commit de `main` :
+L'API se met à jour **toute seule** à chaque merge sur `main` de `Bonsai-api` (CI → registre → Watchtower). Aucune action ici.
+
+Pour forcer un redéploiement, ou pour rebuilder le webapp depuis le dernier commit de sa branche `main` :
 
 ```bash
-docker compose build --ssh default --no-cache
-docker compose up -d
+./deploy.sh
 ```
 
+`CACHEBUST` (posé par le script) invalide uniquement l'étape clone+build du webapp. Les couches précédentes (installation des outils, image de base) restent en cache — le build reste rapide.
+
+### Revenir à une version précédente de l'API
+
+Chaque publication pose aussi un tag immuable `sha-<court>`. Pour épingler un commit :
+
+```yaml
+    image: git.goutailler-olivier.com/bonsai/bonsai-api:sha-ccc20bf
+```
+
+puis `docker compose up -d api`. Watchtower ne touche pas à un tag figé qui ne bouge plus — repasser sur `:main` pour réactiver le suivi automatique.
+
 ## Arrêt
 
 ```bash

bonsai/deploy.sh

@@ -0,0 +1,13 @@
+#!/bin/bash
+#
+# Déploiement manuel de la stack Bonsai.
+#
+# L'API n'est plus buildée ici : son image est publiée par la CI du dépôt
+# Bonsai-api à chaque merge sur main, et Watchtower recrée le conteneur tout seul.
+# Ce script sert donc au premier démarrage, à un changement de la stack ou à un
+# redéploiement forcé — « pull » va chercher la dernière image de l'API, « build »
+# ne concerne plus que le webapp (toujours compilé depuis les sources).
+
+docker compose pull
+CACHEBUST=$(date +%s) docker compose build
+docker compose up -d

bonsai/docker-compose.yml

@@ -20,12 +20,24 @@ services:
     networks:
       - bonsai-net
 
+  # Image tirée du registre Gitea, publiée par la CI du dépôt Bonsai-api
+  # (.gitea/workflows/images.yml) à chaque push sur main. Le tag « main » suit la
+  # tête de cette branche ; « sha-<court> » permet d'épingler un commit précis en
+  # cas de rollback.
+  #
+  # Avant, ce service clonait le dépôt et compilait le JAR sur le serveur à chaque
+  # « docker compose build » (Dockerfile.api + secret ssh_key + CACHEBUST) : la prod
+  # rebuildait ce que la CI avait déjà buildé, et rien ne garantissait que les deux
+  # partaient du même commit. Le redéploiement est désormais automatique — le label
+  # watchtower.enable ci-dessous fait recréer ce conteneur dès que la CI publie une
+  # nouvelle image.
+  #
+  # Prérequis : le serveur doit pouvoir tirer les images privées de l'org Bonsai —
+  # soit via un « docker login git.goutailler-olivier.com » (root), soit via les
+  # REPO_USER/REPO_PASS de la stack Watchtower, dont le PAT doit avoir le scope
+  # read:package sur l'org Bonsai (et pas seulement sur Luz).
   api:
-    build:
-      context: .
-      dockerfile: Dockerfile.api
-      ssh:
-        - default
+    image: git.goutailler-olivier.com/bonsai/bonsai-api:main
     container_name: bonsai-api
     restart: unless-stopped
     depends_on:
@@ -45,6 +57,7 @@ services:
       - bonsai-net
       - proxy
     labels:
+      - com.centurylinklabs.watchtower.enable=true
       - traefik.enable=true
       - traefik.http.routers.bonsai-api.rule=Host(`bonsai.goutailler-olivier.com`) && PathPrefix(`/api`)
       - traefik.http.routers.bonsai-api.entrypoints=websecure
@@ -56,8 +69,10 @@ services:
     build:
       context: .
       dockerfile: Dockerfile.webapp
-      ssh:
-        - default
+      secrets:
+        - ssh_key
+      args:
+        CACHEBUST: ${CACHEBUST:-stable}
     container_name: bonsai-webapp
     restart: unless-stopped
     depends_on:
@@ -81,3 +96,7 @@ networks:
   proxy:
     external: true
     name: proxy
+
+secrets:
+  ssh_key:
+    file: ${SSH_KEY_PATH}

dev-luz/.env.example

@@ -0,0 +1,14 @@
+# Secrets du stack de test Luz — copier en .env (git-ignoré) avant de démarrer.
+#   cp .env.example .env
+#
+# Note : le script Luz/script/deploy.sh génère automatiquement ce .env avec des
+# valeurs fortes au premier déploiement. Ce fichier reste utile pour un démarrage
+# manuel (docker compose up -d) directement sur le serveur.
+
+# Mot de passe PostgreSQL (partagé entre le container db et le backend).
+#   openssl rand -hex 16
+DB_PASSWORD=changeme
+
+# Secret de signature des JWT. NE JAMAIS réutiliser le défaut de application.yml.
+#   openssl rand -base64 32
+JWT_SECRET=changeme-use-a-long-random-string

dev-luz/docker-compose.yml

@@ -0,0 +1,102 @@
+# Stack de TEST Luz — dev-luz.goutailler-olivier.com
+#
+#   Frontend  : https://dev-luz.goutailler-olivier.com        → webapp (nginx :80)
+#   Backend   : https://dev-luz.goutailler-olivier.com/api    → backend Spring (:8080)
+#
+# Déploiement AUTOMATIQUE : la CI Gitea (client/app/.gitea/workflows/images.yml)
+# builde et pousse les images « …/luz/luz-*:main » à chaque push sur main,
+# puis appelle l'API HTTP de Watchtower. Watchtower (../watchtower/) ne surveille
+# que les conteneurs portant le label watchtower.enable=true (posé ci-dessous) :
+# il tire la nouvelle image et recrée le conteneur. Plus de transfert SSH ni de
+# « deploy.sh » pour cette stack de test.
+#
+# ⚠️ La CI ne publie plus « :develop » (elle ne se déclenche que sur main) : une
+# stack restée sur ce tag ne reçoit plus jamais de mise à jour, en silence. Le tag
+# suivi ici doit toujours être celui que publie images.yml — cf. ../luz/.
+#
+# Prérequis : le serveur (root) doit être « docker login git.goutailler-olivier.com »
+# une fois, sinon Watchtower ne peut pas tirer les images privées de l'org luz.
+#
+# Profil Spring « dev » : la base est réinitialisée (TRUNCATE + seed.sql) à chaque
+# démarrage du backend. Données de test fixes, idéales pour l'app mobile.
+#
+# Prérequis serveur : Traefik v3 + réseau externe « proxy » (voir ../traefik/),
+# et un enregistrement DNS A « dev-luz » pointant sur le serveur (Let's Encrypt HTTP-01).
+name: dev-luz
+
+services:
+  db:
+    image: postgres:17
+    container_name: dev-luz-db
+    restart: unless-stopped
+    environment:
+      POSTGRES_DB: luz
+      POSTGRES_USER: luz
+      POSTGRES_PASSWORD: ${DB_PASSWORD}
+      TZ: Europe/Paris
+    healthcheck:
+      test: ["CMD-SHELL", "pg_isready -U luz -d luz"]
+      interval: 10s
+      timeout: 5s
+      retries: 5
+    volumes:
+      - dev_luz_db:/var/lib/postgresql/data
+    networks:
+      - dev-luz-net
+
+  backend:
+    image: git.goutailler-olivier.com/luz/luz-backend:main
+    container_name: dev-luz-backend
+    restart: unless-stopped
+    depends_on:
+      db:
+        condition: service_healthy
+    environment:
+      DB_HOST: db
+      DB_PORT: 5432
+      DB_NAME: luz
+      DB_USER: luz
+      DB_PASSWORD: ${DB_PASSWORD}
+      JWT_SECRET: ${JWT_SECRET}
+      SPRING_PROFILES_ACTIVE: dev   # TRUNCATE + rejeu de seed.sql à chaque démarrage
+      TZ: Europe/Paris
+    networks:
+      - dev-luz-net
+      - proxy
+    labels:
+      - com.centurylinklabs.watchtower.enable=true
+      - traefik.enable=true
+      - traefik.http.routers.dev-luz-backend.rule=Host(`dev-luz.goutailler-olivier.com`) && PathPrefix(`/api`)
+      - traefik.http.routers.dev-luz-backend.entrypoints=websecure
+      - traefik.http.routers.dev-luz-backend.tls.certresolver=le
+      - traefik.http.services.dev-luz-backend.loadbalancer.server.port=8080
+      - traefik.docker.network=proxy
+
+  webapp:
+    image: git.goutailler-olivier.com/luz/luz-webapp:main
+    container_name: dev-luz-webapp
+    restart: unless-stopped
+    depends_on:
+      - backend
+    environment:
+      TZ: Europe/Paris
+    networks:
+      - proxy
+    labels:
+      - com.centurylinklabs.watchtower.enable=true
+      - traefik.enable=true
+      - traefik.http.routers.dev-luz-webapp.rule=Host(`dev-luz.goutailler-olivier.com`)
+      - traefik.http.routers.dev-luz-webapp.entrypoints=websecure
+      - traefik.http.routers.dev-luz-webapp.tls.certresolver=le
+      - traefik.http.services.dev-luz-webapp.loadbalancer.server.port=80
+      - traefik.docker.network=proxy
+
+volumes:
+  dev_luz_db:
+
+networks:
+  dev-luz-net:
+    driver: bridge
+  proxy:
+    external: true
+    name: proxy

luz/.env.example

@@ -0,0 +1,18 @@
+# Secrets du stack de PRODUCTION Luz — copier en .env (git-ignoré) avant de démarrer.
+#   cp .env.example .env
+#
+# Note : le script Luz/script/deploy.sh prod génère automatiquement ce .env avec
+# des valeurs fortes au premier déploiement. Ce fichier reste utile pour un
+# démarrage manuel sur le serveur.
+
+# Mot de passe PostgreSQL (partagé entre le container db et le backend).
+#   openssl rand -hex 16
+DB_PASSWORD=changeme
+
+# Secret de signature des JWT. NE JAMAIS réutiliser le défaut de application.yml.
+#   openssl rand -base64 32
+JWT_SECRET=changeme-use-a-long-random-string
+
+# (Optionnel) Racine des données persistantes. La BDD vit dans ${DATA_PATH}/luz/db_data.
+# Défaut : ~/Applications/data
+#DATA_PATH=/home/gato/Applications/data

luz/docker-compose.yml

@@ -1,27 +1,105 @@
+# Stack de PRODUCTION Luz — luz.goutailler-olivier.com
+#
+#   Frontend  : https://luz.goutailler-olivier.com        → webapp (nginx :80)
+#   Backend   : https://luz.goutailler-olivier.com/api    → backend Spring (:8080)
+#
+# Images tirées du registre Gitea (git.goutailler-olivier.com/luz/luz-*:main),
+# publiées par la CI (client/app/.gitea/workflows/images.yml) à chaque push « main »
+# — c'est-à-dire à chaque mise en production. Prod et dev-luz partagent donc la MÊME
+# image ; ce qui les sépare : ici la base est PERSISTANTE et sans profil « dev » (voir
+# plus bas), côté dev-luz elle est réinitialisée à chaque démarrage. Le redéploiement
+# est automatique : les conteneurs portent le label watchtower.enable=true, donc chaque
+# push main fait recréer AUSSI cette prod par Watchtower (../watchtower/), en même
+# temps que dev-luz. Plus de transfert SSH ni de deploy.sh.
+#
+# ⚠️ Le tag suivi ici doit rester celui que la CI publie. L'app a d'abord publié
+# « :develop » (elle n'avait pas de branche main), puis est passée à « :main ». Ces
+# stacks étant restées sur « :develop », plus rien n'a poussé ce tag : Watchtower
+# répondait 200 à /v1/update mais ne trouvait aucune image plus récente, et la prod
+# est restée figée sur le dernier build develop (a70e0e4, 25/07) pendant que main
+# avançait de 79 commits — sans la moindre erreur visible côté CI hors la
+# vérification post-déploiement. Changer le tag de publication dans images.yml
+# impose donc de changer ce tag ici, dans le même mouvement.
+#
+# Prérequis : le serveur (root) doit être « docker login git.goutailler-olivier.com »
+# une fois, sinon Watchtower ne peut pas tirer les images privées de l'org luz.
+#
+# PAS de profil « dev » : Flyway applique les migrations, la base est PERSISTANTE
+# (bind sous ${DATA_PATH}/luz/db_data), les données ne sont jamais réinitialisées.
+#
+# Prérequis serveur : Traefik v3 + réseau externe « proxy » (voir ../traefik/),
+# DNS A « luz » → serveur.
 name: luz
 
 services:
-  luz:
-    image: git.goutailler-olivier.com/gato/luz:latest
-    container_name: luz
+  db:
+    image: postgres:17
+    container_name: luz-db
     restart: unless-stopped
+    environment:
+      POSTGRES_DB: luz
+      POSTGRES_USER: luz
+      POSTGRES_PASSWORD: ${DB_PASSWORD}
+      TZ: Europe/Paris
+    healthcheck:
+      test: ["CMD-SHELL", "pg_isready -U luz -d luz"]
+      interval: 10s
+      timeout: 5s
+      retries: 5
+    volumes:
+      - ${DATA_PATH:-~/Applications/data}/luz/db_data:/var/lib/postgresql/data
+    networks:
+      - luz-net
 
+  backend:
+    image: git.goutailler-olivier.com/luz/luz-backend:main
+    container_name: luz-backend
+    restart: unless-stopped
+    depends_on:
+      db:
+        condition: service_healthy
+    environment:
+      DB_HOST: db
+      DB_PORT: 5432
+      DB_NAME: luz
+      DB_USER: luz
+      DB_PASSWORD: ${DB_PASSWORD}
+      JWT_SECRET: ${JWT_SECRET}
+      TZ: Europe/Paris
+    networks:
+      - luz-net
+      - proxy
+    labels:
+      - com.centurylinklabs.watchtower.enable=true
+      - traefik.enable=true
+      - traefik.http.routers.luz-backend.rule=Host(`luz.goutailler-olivier.com`) && PathPrefix(`/api`)
+      - traefik.http.routers.luz-backend.entrypoints=websecure
+      - traefik.http.routers.luz-backend.tls.certresolver=le
+      - traefik.http.services.luz-backend.loadbalancer.server.port=8080
+      - traefik.docker.network=proxy
+
+  webapp:
+    image: git.goutailler-olivier.com/luz/luz-webapp:main
+    container_name: luz-webapp
+    restart: unless-stopped
+    depends_on:
+      - backend
     environment:
       TZ: Europe/Paris
-
     networks:
       - proxy
-
     labels:
-      - traefik.enable=true
-      - traefik.http.routers.luz.rule=Host(`luz.goutailler-olivier.com`)
-      - traefik.http.routers.luz.entrypoints=websecure
-      - traefik.http.routers.luz.tls.certresolver=le
-      - traefik.http.services.luz.loadbalancer.server.port=80
-      - traefik.docker.network=proxy
       - com.centurylinklabs.watchtower.enable=true
+      - traefik.enable=true
+      - traefik.http.routers.luz-webapp.rule=Host(`luz.goutailler-olivier.com`)
+      - traefik.http.routers.luz-webapp.entrypoints=websecure
+      - traefik.http.routers.luz-webapp.tls.certresolver=le
+      - traefik.http.services.luz-webapp.loadbalancer.server.port=80
+      - traefik.docker.network=proxy
 
 networks:
+  luz-net:
+    driver: bridge
   proxy:
     external: true
     name: proxy

watchtower/.env.example

@@ -1 +1,9 @@
+# Jeton d'authentification de l'API HTTP de Watchtower (déclenchement du /v1/update
+# par la CI). Doit être identique au secret WATCHTOWER_TOKEN côté Gitea Actions.
 WATCHTOWER_TOKEN=votre_token_secret_ici
+
+# Identifiants de pull du registre Gitea privé (git.goutailler-olivier.com).
+# PAT en LECTURE seule (scope read:package) d'un compte membre de l'org Luz.
+# Utilisés par Watchtower (REPO_USER/REPO_PASS) pour tirer luz-backend/luz-webapp.
+REGISTRY_USER=nom_utilisateur_gitea
+REGISTRY_PASS=pat_read_package_ici

watchtower/docker-compose.yml

@@ -7,12 +7,23 @@ services:
     restart: unless-stopped
     volumes:
       - /var/run/docker.sock:/var/run/docker.sock
-      - /root/.docker/config.json:/root/.docker/config.json:ro
     environment:
       WATCHTOWER_HTTP_API_UPDATE: "true"
       WATCHTOWER_HTTP_API_TOKEN: ${WATCHTOWER_TOKEN}
       WATCHTOWER_LABEL_ENABLE: "true"
       WATCHTOWER_CLEANUP: "true"
+      # Identifiants de pull du registre Gitea privé (git.goutailler-olivier.com).
+      # Sans eux, Watchtower échoue à tirer luz-backend/luz-webapp :main
+      # (« unauthorized: reqPackageAccess ») et ne recrée jamais les conteneurs
+      # — le déploiement reste bloqué en silence (Updated=0, mais /v1/update → 200).
+      # Un PAT en LECTURE seule (scope read:package) suffit — mais il lui faut
+      # accès aux DEUX organisations qui publient des images ici : Luz et, depuis
+      # que la stack bonsai tire bonsai-api du registre, Bonsai. Un PAT limité à
+      # Luz laisserait la prod Bonsai bloquée sur son ancienne image, en silence.
+      # Remplace l'ancien montage de /root/.docker/config.json, qui côté hôte
+      # ne contenait aucune auth (le docker login du CI a lieu sur le runner).
+      REPO_USER: ${REGISTRY_USER}
+      REPO_PASS: ${REGISTRY_PASS}
       TZ: Europe/Paris
     networks:
       - proxy