corrige Uptime Kuma : réseau hôte, écoute sur 127.0.0.1 uniquement

Avec le pont Docker désactivé (bridge: none), le port demandé n'était
jamais publié. Le rôle vérifie maintenant que le port écoute, et seulement
sur 127.0.0.1.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

ansible/roles/supervision/tasks/main.yml

@@ -80,17 +80,39 @@
     state: started
     enabled: true
 
+# Réseau de l'hôte, écoute forcée sur 127.0.0.1 : Docker tourne avec
+# "bridge": "none" et "iptables": false (étape 5), donc un `ports:` sur le
+# pont par défaut n'est jamais publié (constaté le 2026-10-09 : rien sur
+# 3001). En mode hôte, rien à publier, et Kuma joint directement les
+# services locaux qu'il surveille.
 - name: déployer Uptime Kuma
   community.docker.docker_container:
     name: uptime-kuma
     image: louislam/uptime-kuma:1
     state: started
     restart_policy: unless-stopped
-    ports:
-      - "127.0.0.1:{{ supervision_port_uptime_kuma }}:3001"
+    network_mode: host
+    env:
+      UPTIME_KUMA_HOST: "127.0.0.1"
+      UPTIME_KUMA_PORT: "{{ supervision_port_uptime_kuma | string }}"
     volumes:
       - uptime-kuma-data:/app/data
 
+- name: vérifier qu'Uptime Kuma écoute sur 127.0.0.1 uniquement
+  ansible.builtin.wait_for:
+    host: 127.0.0.1
+    port: "{{ supervision_port_uptime_kuma }}"
+    timeout: 60
+
+- name: refuser toute écoute d'Uptime Kuma hors de 127.0.0.1
+  ansible.builtin.shell:
+    cmd: "ss -Htln 'sport = :{{ supervision_port_uptime_kuma }}' | awk '{print $4}'"
+  register: supervision_ecoute_kuma
+  changed_when: false
+  failed_when: >-
+    supervision_ecoute_kuma.stdout_lines | length == 0 or
+    supervision_ecoute_kuma.stdout_lines | reject('equalto', '127.0.0.1:' ~ supervision_port_uptime_kuma) | list | length > 0
+
 - name: afficher s'il faut relancer Kolla pour les nouvelles règles
   ansible.builtin.debug:
     msg: >