Je pilote des livraisons IT, et j'opère ma propre infrastructure.

Trois couches, montées dans cet ordre

1. L'hôte

   Debian 13 sur VPS OVH : compte non privilégié, accès par clé, pare-feu UFW en liste blanche, fail2ban sur SSH, mises à jour de sécurité automatiques. Swap de 2 Gio persistant avec une swappiness basse, parce qu'un LLM local et une base de données se disputent vite la RAM.

2. Le routage

   Traefik lit les labels Docker et publie chaque service sur son sous-domaine, avec un certificat Let's Encrypt obtenu et renouvelé sans intervention. Un seul réseau Docker partagé sert de bus : aucun port applicatif n'est exposé sur l'hôte, seuls 80 et 443 le sont.

3. Les données et les modèles

   Une instance PostgreSQL mutualisée, une base par application. Ollama fait tourner des modèles en local sous une limite mémoire explicite. Sauvegardes par pg_dump et archives des volumes, planifiées et rapatriées hors du serveur.

Les neuf services

• Traefik
  Point d'entrée unique : routage, HTTPS, redirections.
  Version épinglée, réseau déclaré explicitement sur chaque conteneur.
• n8n
  Automatisations : digest de veille quotidien, tâches planifiées, outillage des agents.
  Fuseau horaire imposé par variables d'environnement, sinon les crons partent en UTC.
• Ollama
  Modèles de langage exécutés sur le serveur, sans appel à un service tiers.
  Plafond mémoire assumé : le choix du modèle dépend de ce qui reste pour le reste.
• PostgreSQL
  Stockage des applications, une base et un rôle par service.
  Migration des objets vers des rôles dédiés en cours, tracée comme dette.
• Gitea
  Forge privée : la description de l'infrastructure et le code applicatif y vivent.
  Dépôts séparés pour l'infra et les applications, secrets exclus du suivi.
• Vaultwarden
  Coffre de mots de passe de la famille, synchronisé sur les clients Bitwarden.
  Conteneur ramené à un utilisateur non privilégié, vérifié côté processus hôte.
• Mealie
  Recettes et menus de la semaine, alimentés aussi par les agents.
  API exposée aux workflows n8n pour créer une recette depuis une URL ou du texte.
• Miniflux
  Agrégateur de flux : la source de la veille résumée chaque matin.
  Déduplication des articles déjà traités pour ne pas les résumer deux fois.
• Portail personnel
  Tableau de bord privé : météo, dernières recettes, raccourcis.
  Réécrit depuis zéro en Node sans framework, après une première version générée.

En production Travaux en cours

• Erreurs 504 aléatoires sur un service pourtant démarré

  Symptôme

  Erreur 504 aléatoire sur un conteneur sain.

  Cause

  Le conteneur appartient à deux réseaux Docker ; le proxy choisissait le mauvais.

  Correctif

  Réseau de publication déclaré explicitement par label, sur chaque service.

• Aucune route découverte au démarrage du proxy

  Symptôme

  Aucune route découverte au démarrage, le proxy tourne à vide.

  Cause

  Version du proxy trop ancienne pour la version d'API du moteur Docker installé.

  Correctif

  Version épinglée et vérifiée sur les notes de publication, plus jamais de tag flottant.

• Un modèle de langage arrêté dès la première requête

  Symptôme

  Conteneur tué par la limite mémoire dès la première requête.

  Cause

  Le nom du modèle annonce les paramètres actifs, pas ce qui est chargé en mémoire.

  Correctif

  Sélection des modèles sur la mémoire réellement consommée, mesurée avant mise en service.

1. Prochain

   Authentification unique

   Un fournisseur d'identité en frontal du proxy, pour cesser de gérer un mot de passe par service. En attente de validation de la marge mémoire.

2. Engagé

   Secrets chiffrés dans le dépôt

   Chiffrement des fichiers de configuration sensibles, pour versionner la stack complète sans versionner les secrets en clair.

3. Engagé

   Durcissement du proxy

   Accès indirect au démon Docker, en-têtes de sécurité, limitation de débit, politique TLS explicite.

4. Engagé

   Sauvegardes complètes

   Étendre la couverture aux derniers services, avec restauration testée et non supposée.