corrige Uptime Kuma : réseau hôte, écoute sur 127.0.0.1 uniquement

Avec le pont Docker désactivé (bridge: none), le port demandé n'était
jamais publié. Le rôle vérifie maintenant que le port écoute, et seulement
sur 127.0.0.1.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/runbooks/supervision.md

@@ -11,7 +11,7 @@
 | openstack-exporter | `:9198` | Kolla |
 | cAdvisor, libvirt/mysqld/memcached exporters | ports divers | Kolla |
 | Relais Alertmanager → ntfy | `127.0.0.1:9099` | rôle Ansible `supervision` |
-| Uptime Kuma | `127.0.0.1:3001` | rôle Ansible `supervision` (conteneur Docker) |
+| Uptime Kuma | `127.0.0.1:3001` | rôle Ansible `supervision` (conteneur Docker en réseau hôte, écoute forcée sur 127.0.0.1 par `UPTIME_KUMA_HOST`) |
 
 Rien de tout cela n'est exposé sur `eno1` (vérifié : seuls 22/80/443 répondent
 depuis Internet). **Tant qu'il n'y a pas de domaine, l'accès se fait par
@@ -27,6 +27,12 @@ Puis dans le navigateur : `http://localhost:3000` (Grafana), `:9091`
 (Prometheus), `:9093` (Alertmanager), `:3001` (Uptime Kuma — premier accès :
 créer le compte admin toi-même, c'est une étape interactive).
 
+Piège (2026-10-09) : Docker tourne avec `"bridge": "none"` et `"iptables": false`
+(étape 5). Un conteneur sur le pont par défaut n'a donc pas de réseau, et son
+`ports:` n'est jamais publié — le conteneur reste « healthy » (son contrôle
+de santé interroge son propre localhost) mais rien n'écoute sur l'hôte.
+Vérifier avec `sudo ss -tlnp | grep 3001` : attendu `127.0.0.1:3001` seulement.
+
 Identifiants Grafana/Prometheus/Alertmanager : utilisateur `admin`, mot de
 passe dans `/etc/kolla/passwords.yml` sur le serveur (`grafana_admin_password`,
 `prometheus_password`, `prometheus_alertmanager_password`) — jamais affichés