Version 0.2.0

Publié le 2026-09-22 : recettes de bootstrap splittées, clés Tailscale étiquetées, arbre de paquets.

Changements sur GitHub 🡕 · Toutes les versions

Ajouts

pkgs : arbre de paquets Dnf pour les programmes absents de nixpkgs
home : rename simple dans les essentiels avancés
headscale : génération de la politique ACL du tailnet depuis la topologie
headscale : chargement de la politique générée, vérifiée au build
headscale : login OIDC via Kanidm pour les appareils personnels
tailscale : ouverture du port WireGuard sur le serveur de coordination
headscale : audit des nœuds du tailnet, alerte en cas de dérive
gc : gc via just avec un argument période/nombre
vbox : attacher la sortie locale build-iso aux VM de test
git : améliorations git-cliff / git
qemu : VM de test en LAN ponté via vm-start.sh et darkone.graphic.qemu
pkgs : ajout de fleet-update (unstable, maquette d’interface)
just : pkg-update honore les arguments supplémentaires de updateScript
flake : exposer les paquets pkgs/ aux flakes consommateurs
just : ajout de la recette fleet-update
fleet-update : ajout du module darkone.admin.fleet-update et de son timer
just : pkg-update accepte une version explicite
advanced : nouveau profil DnfDeveloper
fleet-update : Sops dans le PATH non supervisé pour —send-report
alerts : Send-msg, un message vers un salon d’alerte Matrix
nix-cache : servir la zone globale depuis l’harmonia globale
nextcloud : mise à jour de la liste des plugins
pim : ajout de planify à l’option gnome calendar/contacts
fleet-update : outils IA optionnels dans le PATH de l’exécution non supervisée
ai : nouveaux outils IA : codex, antigravity…

Corrections

anssi : R50 supprimait x de /var/log/nginx, faire échouer logrotate au boot
luks : restaurer la clé initrd en root, pas via le shell nix
just : nommer les recettes existantes, passer un argument à _fail, aucun chemin figé
configure : re-converger LUKS maintenant que la restauration de la clé fonctionne
just : résumés —list lisibles et messages en anglais
just : restaurer la propriété du workspace quand une installation échoue
luks : auditer le système en cours d’exécution par rapport au nœud colmena
luks : ordonnancement de timesyncd gardé sur l’unité activée
prometheus : libellé d’hôte distinct sur les règles PeerGatewayDown
matrix : démarrer synapse après un MAS prêt, suppression de l’ordre inverse
headscale : accorder HTTPS sur les IP LAN de la passerelle de zone aux appareils personnels
tailscale : réconcilier les préférences SSH et nœud de sortie sur les nœuds en cours
restic : une alerte par tâche de sauvegarde, une tâche en échec n’est plus masquée
restic : surveiller aussi la fraîcheur des tâches de sauvegarde déclarées manuellement
restic : alerter sur les tâches jamais réussies, retirer les horodatages des tâches supprimées
vbox : définir l’adaptateur bridge sur les NIC des VM de test
iso : afficher l’IP et le MAC d’installation sur la console avant l’invite
install : committer sans autoDetach pour éviter l’échec de chown
services : espacer les redémarrages exporter/outline, supprimer l’alias pkgs.system
hive : aligner les toplevels colmena et nixosConfigurations
opencode : figer en 1.18.20, 1.18.30 plante à chaque invite
opencode : revenir au paquet figé -> opencode stable
fleet-update : garder l’overlay dnf-generator pour l’évaluation aarch64
flake : monter sops-nix, retire le buildGo125Module supprimé
admin : nix-eval-jobs compilé contre le nix du système
d2,opencode : d2 pkgs stable, opencode unstable
headscale : attendre l’issuer oidc avant le démarrage, pas seulement l’ordre de l’unité kanidm
opencode : figer le paquet en 1.18.29, 1.18.30 plante à chaque invite
apply : apply-silenced a besoin de sudo pour dnf-maintenance
fleet-update : vider timer.extraArgs, —send-report sort avec 2
mpdris2 : réglages renommés
security : Anssi-orphan-scan ne bloque plus l’activation
alerts : rendre le markdown du rapport en HTML Matrix
luks : livrer les transports virtio dans l’initrd, auditer les pilotes NIC

Sécurité

anssi : élever les passerelles et ms-a2 au niveau intermédiaire
anssi : R79 plaçait ses en-têtes nginx là où nginx les supprime
anssi : R28 ne peut pas accéder à son /tmp durci via un switch
anssi : R79 écrivait des directives TLS déjà émises par nginx
anssi : les extras de l’allocateur R8 coûtent plus cher que le wipe qu’ils remplacent
anssi : les extras de l’allocateur portaient 7 des 34 secondes, pas toutes

Suppressions

just : supprimer les variables en double, le code mort et le fix-zsh déprécié
tailscale : supprimer la métrique de santé en autopaused sur un LAN domestique
advanced : supprimer l’openssl en double quand admin+dnf-developer se recouvrent

Modifications

just : calculer le contexte du workspace une seule fois
just : une seule recherche de zone partagée par _target et _candidates
banner : mise à jour de la bannière C11 ssh
just-install : revues mineures

Documentation

tailscale : corriger la note MagicDNS sur les drapeaux DNS de la passerelle
umi : UMI -> Unified Multimodal Input + corrections mineures