Déploiement sans TLS (EOTW)

Pensé pour les sites qui doivent survivre sans DNS, sans autorités de certification, sans reverse proxy. Ce que le projet appelle le mode fin-du-monde (EOTW) : le CMS sert tout lui-même, en HTTP simple, pour toujours.

Comment ça fonctionne

• install/hypnotoad.conf est préconfiguré pour ce mode ; copiez-le à côté de l'application et lancez le démon sous le hypnotoad fourni :
• CHINASKI_SECRET généré une fois et sauvegardé,
• CHINASKI_AIRGAP=1 exporté avant le démarrage.
• Pas de reverse proxy, pas de TLS, pas de certificats nécessaires : rien à acquérir, renouveler ou faire expirer.
• L'interface d'administration répond directement à http://<host-ip>:8080/.

Intégrité de l'IP client sans proxy

La raison habituelle pour laquelle un proxy est nécessaire est de détecter les vraies IP client à partir des en-têtes forwarded. Sans proxy, le CMS reconnaît qu'il est le serveur le plus externe : les en-têtes forwarded provenant de pairs non-loopback sont ignorés et la vraie adresse TCP est utilisée à la place. La limitation de débit et le verrouillage de connexion fonctionnent correctement sans configuration supplémentaire.

Fonctionnement au quotidien

• Le modèle de processus est le standard ; start/reload ou graceful-stop :

hypnotoad cms.pl démarre (ou recharge à chaud sans coupure de connexion via kill -USR2 sur le fichier PID), et hypnotoad -s cms.pl arrête proprement.

• Workers: 2 est la valeur par défaut (sûr sur une machine de 1 Go) ; la configuration permet d'augmenter (par ex. 4 sur un hôte de 2 Go ou plus) quand plusieurs éditeurs travaillent en même temps.
• Cibler l'interface: le démon écoute sur toutes les interfaces par défaut (port 8080). Pour servir une carte réseau spécifique, par ex. une machine à cheval sur un réseau non fiable, réglez l'adresse d'écoute dans la configuration sur l'IP de cette carte réseau.

Quand le choisir

Quand l'ennemi est le temps ou la distance (installations longtemps non entretenues, réseaux locaux uniquement), pas le confort : ce mode est une garantie qu'aucun internet n'est requis : une fonctionnalité délibérée, pas un repli quand Caddy ne peut pas être installé.