---
# Ports ouverts sur l'interface publique. Rien d'autre n'est accepté en entrée.
durcissement_ports_ouverts:
  - 22
  - 80
  - 443

# Ports UDP ouverts. 10000 : média de la visio (Jitsi Videobridge, étape 15,
# accord d'Adam le 2026-10-09). Le relais TURN sur 443 pour les réseaux qui
# bloquent l'UDP reste à faire (docs/dette.md).
durcissement_ports_udp_ouverts:
  - 10000

# Délai avant retour automatique à l'état d'avant durcissement, si la vérification
# post-changement échoue (voir CLAUDE.md et le prompt de déploiement, règle 4).
durcissement_delai_filet_secondes: 300

# Ponts Docker dont les conteneurs peuvent se parler entre eux. br_netfilter
# fait passer le trafic interne d'un pont par la chaîne forward (politique
# drop) : sans cette règle, les conteneurs d'un même réseau ne se joignent
# pas. Seul le trafic qui entre ET ressort par ce pont est accepté.
# br-visio : Jitsi (étape 15, accord d'Adam le 2026-10-12).
durcissement_ponts_internes:
  - br-visio