Phase 1 : socle & sécurité (WireGuard, Ansible, OpenTofu)

- Reconnaissance : le serveur héberge déjà 6 autres projets derrière un
  Caddy partagé (80/443) ; tripoli-edge sera un service interne (décision
  prise avec l'utilisateur), pas un second frontal.
- WireGuard : canal admin Mac <-> serveur (10.100.0.0/24, port 58212/udp
  après avoir découvert que 51820 était filtré par le pare-feu Hetzner
  Cloud, distinct de ufw).
- Ansible : rôle base (confirme fail2ban/unattended-upgrades/ufw déjà en
  place, sans toucher aux règles des autres projets) + rôle wireguard
  (clé privée générée sur la cible, jamais stockée dans ce dépôt).
- OpenTofu : serveur Hetzner référencé en data source lecture seule
  (jamais recréé/détruit - serveur partagé et déjà en prod) ; DNS
  tripoli.cloud géré via le provider OVH.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

ansible/roles/wireguard/tasks/main.yml

@@ -0,0 +1,61 @@
+---
+# La clé privée du serveur est générée SUR le serveur et n'en sort
+# jamais : pas de vault, pas de secret dans ce dépôt. `creates:` rend la
+# génération idempotente - un ré-exécution ne régénère pas une clé déjà
+# en place.
+
+- name: Installer le paquet wireguard
+  ansible.builtin.apt:
+    name: wireguard
+    state: present
+    update_cache: true
+
+- name: Restreindre les permissions du dossier /etc/wireguard
+  ansible.builtin.file:
+    path: /etc/wireguard
+    state: directory
+    mode: "0700"
+
+- name: Générer la clé privée si absente
+  ansible.builtin.shell: umask 077 && wg genkey > /etc/wireguard/privatekey
+  args:
+    creates: /etc/wireguard/privatekey
+
+- name: Restreindre les permissions de la clé privée
+  ansible.builtin.file:
+    path: /etc/wireguard/privatekey
+    mode: "0600"
+
+- name: Dériver la clé publique correspondante
+  ansible.builtin.shell: wg pubkey < /etc/wireguard/privatekey > /etc/wireguard/publickey
+  args:
+    creates: /etc/wireguard/publickey
+
+- name: Lire la clé privée (jamais affichée dans les logs)
+  ansible.builtin.slurp:
+    path: /etc/wireguard/privatekey
+  register: wg_private_key_raw
+  no_log: true
+
+- name: Déployer wg0.conf
+  ansible.builtin.template:
+    src: wg0.conf.j2
+    dest: /etc/wireguard/wg0.conf
+    mode: "0600"
+  no_log: true
+  notify: redémarrer wireguard
+
+- name: Activer et démarrer wg-quick@wg0
+  ansible.builtin.systemd:
+    name: wg-quick@wg0
+    state: started
+    enabled: true
+
+- name: Lire la clé publique du serveur (information non sensible)
+  ansible.builtin.slurp:
+    path: /etc/wireguard/publickey
+  register: wg_public_key_raw
+
+- name: Afficher la clé publique du serveur
+  ansible.builtin.debug:
+    msg: "Clé publique WireGuard du serveur : {{ (wg_public_key_raw.content | b64decode).strip() }}"