Compose Postgres (PostGIS + pgvector épinglé par digest), scripts de bootstrap
du premier SuperAdmin, de lancement local du service et de migration des
données, et le README du flux en huit étapes.
Le port est lié à 127.0.0.1 et non publié : le Postgres précédent, exposé par
un simple "5432:5432" avec mym/mym, a encaissé 1 074 465 échecs
d'authentification entre juin et octobre 2025. Le compte mym n'a jamais été
tenté — c'est le seul hasard qui a sauvé la base. Les limites de log viennent
du même serveur, où un conteneur avait atteint 516 Mo sur un disque de 20 Go.
Le SuperAdmin passe par le token de réinitialisation plutôt que par un INSERT :
les mots de passe étant hachés en scrypt, seule l'application peut produire le
bon format, et personne d'autre que l'opérateur ne connaît le mot de passe.
MigrationController l'exige et la migration n'en crée aucun, MongoDB n'ayant
pas de champ Role.
Éprouvé sur la préprod le 07/09 : 4 instances, 315 sections migrées et 20
signalées sur 335, 2383 ressources, tout réconcilié avec MongoDB.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Dump -Fc avec vérification de relecture et rotation, test de restauration qui
compare les comptages table par table, extraction par instance, contrôle de
fraîcheur, units systemd et procédure de restauration écrite.
Le dump Mongo est volontairement en lecture seule : aucun mongorestore, pour
qu'aucune erreur de manipulation ne puisse écrire dans la prod.
Ce qui manque pour que ce soit une sauvegarde : BACKUP_DEST n'est pas tranché.
Tant qu'il est vide, le dump reste sur la machine qui héberge la base et ne
protège de rien — le script le dit à chaque exécution. Et notify.sh ne fait
qu'un logger, donc les trois surveillances écrivent dans un journal que
personne ne lit.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Ingestion et indexation
- IIngestionService/IngestionService : chargement des collections filles par
sous-type, un jeu de morceaux par langue, ChunkIndex continu.
- SectionIndexingInterceptor retenu comme unique déclencheur : les 5
sous-contrôleurs totalisaient 30 SaveChanges et 0 Enqueue, donc ajouter des
points d'intérêt à une carte ne réindexait rien.
- HTML retiré avant l'embedding et lignes trop longues recoupées : sans cela un
article dépassait l'entrée max du modèle et emportait son lot de 50 morceaux.
- Gabarits de LanguageInit filtrés, DistinctBy(Text) avant le Take : ils
occupaient les cinq premiers résultats d'une recherche en néerlandais.
Endpoints du guide IA
- GET /api/Ai/knowledge/{id} : agrégats sur ContentEmbedding, donc sur ce qui
est réellement indexé — compter les sections publiées serait plus flatteur et faux.
- GET /api/Ai/insights/{id} : miroir de GuideIaInsights côté manager-app, c'est
l'écran qui a fixé la forme pour que le job de thèmes la remplisse.
RGPD
- VisitorQuestion journalisée dans AiController.Chat. HasAnswer se déduit des
sources du retrieval, pas du texte : un repli poli ressemble à une réponse.
L'écriture n'échoue jamais la réponse au visiteur.
- VisitorQuestionPurgeService, 90 jours, actif sans condition de configuration :
une durée écrite dans les CGU n'est pas un réglage commercial.
Corrections
- Updateinstance ne recopiait pas les quotas du nouveau plan.
- CheckQuota ne bloquait ni ne comptait à quota 0 — IA gratuite non comptée.
- StoragePath et SizeBytes renseignés à Create, types URL exclus.
dotnet build 0 erreur, dotnet test 130/130.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
