passe le portail en HTTPS sur syllabuslab.fr, avec en-têtes de sécurité et CSP

Certificat Let's Encrypt obtenu et renouvelé par certbot (authentificateur
nginx), expiration surveillée par Prometheus. TLS selon Mozilla v6.0
intermediate, HSTS, CSP stricte avec nonce sur l'application et adaptée
sur la vitrine, xterm.js servi par le portail. Page de statut prévue sur
status.syllabuslab.fr, administration de Grafana et Kuma par tunnel seul.

Corrige aussi une faille XSS dans la page de classe, la page /cours en
erreur depuis l'étape 8, et NodeSource relancé à chaque déploiement.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

ansible/roles/portail/tasks/01-systeme.yml

@@ -82,7 +82,9 @@
     - name: ajouter le dépôt NodeSource
       ansible.builtin.shell:
         cmd: curl -fsSL https://deb.nodesource.com/setup_22.x | bash -
-        creates: /etc/apt/sources.list.d/nodesource.list
+        # Le script crée un fichier deb822 (.sources) : avec l'ancien nom
+        # (.list), il était relancé en root à chaque déploiement.
+        creates: /etc/apt/sources.list.d/nodesource.sources
 
     - name: installer nodejs
       ansible.builtin.apt:

ansible/roles/portail/tasks/03-code.yml

@@ -122,6 +122,9 @@
     - { cle: "LABS_DOSSIER", valeur: "/opt/labs" }
     # > timeout des superviseurs Horizon (300 s, config/horizon.php)
     - { cle: "REDIS_QUEUE_RETRY_AFTER", valeur: "330" }
+    # Étape 12 : HTTPS. Cookies de session envoyés en HTTPS seulement.
+    - { cle: "APP_URL", valeur: "https://{{ portail_domaine }}" }
+    - { cle: "SESSION_SECURE_COOKIE", valeur: "true" }
   no_log: true
   register: portail_env_mis_a_jour
   # Horizon charge la configuration une seule fois au démarrage : sans

ansible/roles/portail/tasks/05-nginx.yml

@@ -1,9 +1,50 @@
 ---
-- name: déployer le vhost Nginx du portail
+# Étape 12 : HTTPS par Let's Encrypt. certbot du dépôt Debian (2.1, mis à jour
+# avec le reste du système par unattended-upgrades), authentificateur nginx
+# en mode « certonly » : il ne modifie jamais nos fichiers de configuration,
+# Ansible reste seul maître du vhost.
+- name: installer Nginx et certbot
+  ansible.builtin.apt:
+    name: [nginx, certbot, python3-certbot-nginx]
+    state: present
+
+- name: déployer les extraits TLS et en-têtes de sécurité
+  ansible.builtin.template:
+    src: "{{ item }}.j2"
+    dest: "/etc/nginx/snippets/{{ item }}"
+    mode: "0644"
+  loop:
+    - syllabus-tls.conf
+    - syllabus-entetes.conf
+  notify: recharger nginx
+
+# La page de statut n'est servie que si son nom pointe déjà vers ce serveur :
+# sinon Let's Encrypt refuserait tout le certificat.
+- name: vérifier le DNS du sous-domaine de statut
+  ansible.builtin.command: getent ahostsv4 {{ portail_domaine_statut }}
+  register: portail_dns_statut
+  changed_when: false
+  failed_when: false
+
+- name: noter si la page de statut peut être activée
+  ansible.builtin.set_fact:
+    portail_statut_actif: "{{ portail_ip_publique in portail_dns_statut.stdout }}"
+    portail_noms_certificat: >-
+      {{ [portail_domaine] + portail_domaines_alias
+         + ([portail_domaine_statut] if portail_ip_publique in portail_dns_statut.stdout else []) }}
+
+- name: vérifier si le certificat existe déjà
+  ansible.builtin.stat:
+    path: "/etc/letsencrypt/live/{{ portail_domaine }}/fullchain.pem"
+  register: portail_certificat_avant
+
+- name: déployer le vhost (HTTP seul tant qu'aucun certificat n'existe)
   ansible.builtin.template:
     src: nginx-portail.conf.j2
     dest: /etc/nginx/sites-available/portail.conf
     mode: "0644"
+  vars:
+    portail_https_actif: "{{ portail_certificat_avant.stat.exists }}"
   notify: recharger nginx
 
 - name: activer le vhost
@@ -27,3 +68,57 @@
   loop:
     - "php{{ portail_php_version }}-fpm"
     - nginx
+
+- name: appliquer la configuration Nginx avant le défi Let's Encrypt
+  ansible.builtin.meta: flush_handlers
+
+# --keep-until-expiring : ne fait rien si le certificat est valide et couvre
+# déjà ces noms. --expand : ajoute un nom (ex. statut) au même certificat.
+# Pas d'e-mail : Let's Encrypt n'envoie plus d'avis d'expiration depuis 2025,
+# et le renouvellement est surveillé par Prometheus (voir supervision).
+- name: obtenir ou étendre le certificat Let's Encrypt
+  ansible.builtin.command:
+    cmd: >-
+      certbot certonly --nginx --non-interactive --agree-tos
+      --register-unsafely-without-email
+      --cert-name {{ portail_domaine }}
+      {% for nom in portail_noms_certificat %}-d {{ nom }} {% endfor %}
+      --expand --keep-until-expiring
+      --deploy-hook "systemctl reload nginx"
+  register: portail_certbot
+  changed_when: "'Successfully received certificate' in portail_certbot.stdout"
+
+- name: passer le vhost en HTTPS
+  ansible.builtin.template:
+    src: nginx-portail.conf.j2
+    dest: /etc/nginx/sites-available/portail.conf
+    mode: "0644"
+  vars:
+    portail_https_actif: true
+  notify: recharger nginx
+
+- name: vérifier que le renouvellement automatique est planifié
+  ansible.builtin.systemd:
+    name: certbot.timer
+    enabled: true
+    state: started
+
+# Pas d'e-mail Let's Encrypt : c'est Prometheus qui prévient si le
+# renouvellement ne se fait pas (règle CertificatExpireBientot).
+- name: déployer le script de mesure de l'expiration du certificat
+  ansible.builtin.template:
+    src: syllabus-expiration-certificat.sh.j2
+    dest: /usr/local/sbin/syllabus-expiration-certificat
+    mode: "0755"
+
+- name: mesurer l'expiration chaque jour
+  ansible.builtin.cron:
+    name: "expiration du certificat HTTPS (métrique Prometheus)"
+    user: root
+    hour: "6"
+    minute: "17"
+    job: /usr/local/sbin/syllabus-expiration-certificat
+
+- name: mesurer l'expiration maintenant
+  ansible.builtin.command: /usr/local/sbin/syllabus-expiration-certificat
+  changed_when: false