donut-gestprojet/DEPLOY.md

DEPLOY — Le Donut Infolab

Procédure exacte de déploiement sur le serveur Donut Marseille.

• Hôte : arnaud.donut@82.66.40.209
• OS : Ubuntu 26.04
• Sous-domaine : infolab.ledonut-marseille.org
• Conteneur PHP : donut-infolab (UID 33 = www-data côté Apache)
• BDD : conteneur existant donut-mariadb, réseau Docker donut-net
• Reverse proxy : Caddy natif sur l'hôte
• Front : SPA Vue 3 buildé (statique) servi par Caddy depuis /srv/donut/web/infolab-front/dist/

⚠️ Pré-requis DNS : créer chez OVH un record A infolab.ledonut-marseille.org → 82.66.40.209 avant le reload Caddy (sinon échec ACME challenge).

---

0. Pré-requis vérifiés une fois

ssh arnaud.donut@82.66.40.209

# Le réseau donut-net existe
docker network ls | grep donut-net
# Le mariadb tourne et est joignable depuis donut-net
docker ps | grep donut-mariadb
# /srv/donut/secrets/mariadb.env est en place et lisible par root
sudo ls -l /srv/donut/secrets/mariadb.env
# Le group donut-admins existe
getent group donut-admins

---

1. Copier le backend vers le serveur

Depuis ta machine de dev (à la racine du repo) :

# Code app PHP -> /srv/donut/web/infolab/  (bind-mount dans le conteneur, UID 33)
rsync -avz --delete \
    --exclude '.git' --exclude '.idea' --exclude '.env' --exclude 'tests' \
    --exclude 'docker-compose.yml' --exclude 'Dockerfile' --exclude 'caddy.conf' \
    --exclude 'migrations' --exclude 'DEPLOY.md' --exclude 'INSTRUCTIONS.md' \
    --exclude 'frontend' --exclude 'docs' \
    ./ arnaud.donut@82.66.40.209:/tmp/infolab-app/

# Fichiers d'orchestration -> /srv/donut/compose/infolab/
rsync -avz \
    docker-compose.yml Dockerfile caddy.conf README.md DEPLOY.md .env.example \
    migrations \
    arnaud.donut@82.66.40.209:/tmp/infolab-compose/

Puis sur le serveur :

ssh arnaud.donut@82.66.40.209

# Code app (UID 33 = www-data du conteneur Apache)
sudo mkdir -p /srv/donut/web/infolab
sudo rsync -a --delete /tmp/infolab-app/ /srv/donut/web/infolab/
sudo chown -R 33:33 /srv/donut/web/infolab
sudo find /srv/donut/web/infolab -type d -exec chmod 755 {} \;
sudo find /srv/donut/web/infolab -type f -exec chmod 644 {} \;

# Orchestration (root:donut-admins, lisible par les admins)
sudo mkdir -p /srv/donut/compose/infolab
sudo rsync -a /tmp/infolab-compose/ /srv/donut/compose/infolab/
sudo chown -R root:donut-admins /srv/donut/compose/infolab
sudo chmod 750 /srv/donut/compose/infolab
sudo chmod 640 /srv/donut/compose/infolab/*

# Cleanup tmp
rm -rf /tmp/infolab-app /tmp/infolab-compose

---

1bis. Builder & copier le frontend (SPA Vue)

Le SPA est compilé localement (Node 22+ requis) et déployé en statique. Pas de Node sur le serveur prod.

# Sur la machine de dev, à la racine du repo
cd frontend
npm ci                  # ou `npm install` la 1re fois
npm run build           # produit frontend/dist/
ls -la dist/            # index.html + assets/ avec hash

# Copie de l'artifact vers le serveur (rsync direct, fichiers statiques)
rsync -avz --delete dist/ arnaud.donut@82.66.40.209:/tmp/infolab-front-dist/
cd ..

Sur le serveur :

ssh arnaud.donut@82.66.40.209
sudo mkdir -p /srv/donut/web/infolab-front/dist
sudo rsync -a --delete /tmp/infolab-front-dist/ /srv/donut/web/infolab-front/dist/
# Caddy tourne en `caddy` user — donner l'accès en lecture est suffisant
sudo chown -R caddy:caddy /srv/donut/web/infolab-front
sudo find /srv/donut/web/infolab-front -type d -exec chmod 755 {} \;
sudo find /srv/donut/web/infolab-front -type f -exec chmod 644 {} \;
rm -rf /tmp/infolab-front-dist

⚠️ Le build embarque l'URL de l'API en relatif (/api/...) — donc le SPA et l'API doivent être servis depuis le même domaine (ce que fait notre caddy.conf).

---

2. Créer les secrets /srv/donut/secrets/infolab.env

ssh arnaud.donut@82.66.40.209

DB_PASS="$(openssl rand -hex 24)"
ADMIN_TOKEN="$(openssl rand -hex 32)"

sudo tee /srv/donut/secrets/infolab.env > /dev/null <<EOF
DB_HOST=donut-mariadb
DB_PORT=3306
DB_NAME=infolab
DB_USER=infolab
DB_PASS=$DB_PASS

ADMIN_TOKEN=$ADMIN_TOKEN

CORS_ORIGIN=https://infolab.ledonut-marseille.org
APP_ENV=production
APP_DEBUG=false
EOF

sudo chown root:donut-admins /srv/donut/secrets/infolab.env
sudo chmod 640 /srv/donut/secrets/infolab.env

# Note les 2 secrets quelque part de sûr (gestionnaire de mdp) :
sudo cat /srv/donut/secrets/infolab.env | grep -E '^(ADMIN_TOKEN|DB_PASS)='

---

3. Créer la BDD + le user MariaDB + appliquer les migrations

# Le script apply.sh fait tout : crée la base, le user, applique les .sql
# Idempotent : peut être ré-exécuté sans danger (table schema_migrations).
sudo /srv/donut/compose/infolab/migrations/apply.sh

Tu dois voir :

• apply 001_init_schema.sql
• apply 002_seed_categories.sql
• résumé avec categories_count = 6

---

4. Build + start du conteneur

cd /srv/donut/compose/infolab
sudo docker compose --env-file /srv/donut/secrets/infolab.env up -d --build

# Vérifie qu'il tourne et écoute en local sur 127.0.0.1:8003
docker ps | grep donut-infolab
ss -ltn | grep 8003

# Sonde de vie via le port mappé en local
curl -s http://127.0.0.1:8003/api/health
# {"status":"ok","time":"..."}

Si la sonde renvoie degraded, vérifier les logs :

docker logs --tail 100 donut-infolab

---

5. Vhost Caddy (sert le SPA + reverse_proxy l'API)

Le caddy.conf fait deux choses :

• /api/* -> reverse_proxy vers le conteneur PHP 127.0.0.1:8003
• tout le reste -> sert /srv/donut/web/infolab-front/dist/ (SPA), fallback index.html

grep -n 'infolab' /etc/caddy/Caddyfile

# Si manquant, ajouter en fin de Caddyfile :
echo 'import /srv/donut/compose/infolab/caddy.conf' | sudo tee -a /etc/caddy/Caddyfile

# Valider la syntaxe puis recharger
sudo caddy validate --config /etc/caddy/Caddyfile
sudo systemctl reload caddy

Caddy va négocier le certificat Let's Encrypt (à condition que le DNS A record soit en place — voir avertissement en tête de fichier).

Vérifier qu'il sert bien le SPA et l'API :

curl -sI https://infolab.ledonut-marseille.org/                 # SPA -> 200 text/html
curl -sI https://infolab.ledonut-marseille.org/api/health       # API -> 200 application/json
curl -sI https://infolab.ledonut-marseille.org/whatever-fake    # SPA fallback -> 200 index.html

---

6. Vérification finale

# Depuis la machine de dev (TLS terminé par Caddy)
curl -s https://infolab.ledonut-marseille.org/api/health
curl -s https://infolab.ledonut-marseille.org/api/categories | head -c 400

# Smoke tests complets (lit ADMIN_TOKEN depuis le secret côté serveur)
ssh arnaud.donut@82.66.40.209 'sudo bash -c "
  TOKEN=\$(grep ^ADMIN_TOKEN= /srv/donut/secrets/infolab.env | cut -d= -f2-)
  INFOLAB_URL=https://infolab.ledonut-marseille.org ADMIN_TOKEN=\$TOKEN \
      /srv/donut/compose/infolab/tests/smoke.sh
"'

Si tout est vert : OK : 11 / FAIL : 0.

---

7. Cycle de mise à jour (pour plus tard)

# Backend PHP
rsync -avz --delete --exclude '.git' --exclude '.env' \
    public/ src/ arnaud.donut@82.66.40.209:/srv/donut/web/infolab/

# Frontend Vue (build à chaque release)
(cd frontend && npm ci && npm run build)
rsync -avz --delete frontend/dist/ \
    arnaud.donut@82.66.40.209:/srv/donut/web/infolab-front/dist/

# Si changement Dockerfile / docker-compose / migrations :
rsync -avz docker-compose.yml Dockerfile migrations/ \
    arnaud.donut@82.66.40.209:/srv/donut/compose/infolab/

ssh arnaud.donut@82.66.40.209 << 'EOF'
  sudo /srv/donut/compose/infolab/migrations/apply.sh   # nouvelle migration éventuelle
  cd /srv/donut/compose/infolab
  sudo docker compose --env-file /srv/donut/secrets/infolab.env up -d --build
  sudo chown -R 33:33 /srv/donut/web/infolab
  sudo chown -R caddy:caddy /srv/donut/web/infolab-front
EOF

---

Points à valider une fois en prod

• DNS A infolab.ledonut-marseille.org → 82.66.40.209 ajouté chez OVH
• Certificat Let's Encrypt négocié OK (caddy.log côté hôte)
• ADMIN_TOKEN archivé dans le gestionnaire de mots de passe partagé
• tests/smoke.sh vert depuis l'extérieur
• SPA accessible : https://infolab.ledonut-marseille.org/ renvoie la page d'accueil
• SPA routing OK : https://infolab.ledonut-marseille.org/projects aussi (pas de 404 — fallback Caddy)
• Conteneur donut-infolab visible dans Dozzle (logs Apache + PHP via stderr)
• Pas de fuite : curl -I https://infolab.ledonut-marseille.org/.env → 403/404