écrit le bilan de mission et note le maintien temporaire de sudo sans mot de passe (étape 16)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/journal.md

@@ -671,3 +671,18 @@ Dans une visio, l'image et le son ne sont que la partie visible : la sécurité
 **Suite**
 
 Étape 16 : nettoyage.
+
+## 2026-10-12 — Étape 16 : nettoyage, et fin de mission
+
+**Fait**
+
+- Relevé de `/etc/sudoers.d/90-adam` : `adam ALL=(ALL) NOPASSWD:ALL`. `adam` est aussi dans le groupe `sudo` (`%sudo ALL=(ALL:ALL) ALL`) et a un mot de passe défini : retirer le fichier laisserait sudo, avec mot de passe. Conséquences présentées : `ansible-playbook -K`, plus aucune action root possible pour Claude Code seul, services automatiques non concernés (systemd, pas sudo).
+- **Décision d'Adam : garder le fichier jusqu'à la fin du bloc A** (self-healing et montée de version demandent encore beaucoup de travail root). Noté en dette avec la procédure de retrait ; rien n'a été modifié sur le serveur.
+- Restes de tests sur le serveur (`/root/capacite-20261009`, `etat-*.txt`, `nft-avant-visio.txt`, `/root/unites-retirees/`) conservés : ce sont des preuves citées dans le journal (« ne supprime rien »).
+- `docs/bilan.md` écrit : preuve de chaque critère, temps par étape (fenêtres entre commits), capacité (20 VM), risques, ce qu'Adam doit faire, prochaines étapes du bloc A.
+
+**État vérifié en fin de mission** : 0 unité en échec, 53 conteneurs sains, site et page de statut en 200, certificat jusqu'au 2027-01-10, test de restauration automatique du 2026-10-12 04:30 réussi.
+
+**Comprendre**
+
+Un accès « sudo sans mot de passe » est pratique pour automatiser, mais il transforme toute clé SSH du compte en clé root. Ici, c'est précisément la clé de Claude Code. Le garder pendant le bloc A est un compromis assumé, pas un oubli : il est écrit dans la dette avec sa date de fin et la commande de retrait.