Infrastructure auto-hébergée

En bref

Une infrastructure personnelle auto-hébergée sur Debian, conçue comme une plateforme complète et non comme un simple serveur : plusieurs nœuds en cluster, un ingress unique, une résolution DNS maîtrisée, un accès distant chiffré, et une exploitation outillée.

L’objectif est de maîtriser la plateforme de bout en bout — du système au service — pour comprendre et arbitrer les compromis de performance, de sécurité et d’exploitation.

Architecture

• Trois nœuds Debian réunis en cluster Docker Swarm pour la résistance aux pannes et la répartition des charges.
• Reverse proxy (Traefik) : terminaison TLS automatique (Let’s Encrypt), routage par nom d’hôte, en-têtes de sécurité.
• DNS filtrant (AdGuard Home) : résolution chiffrée, blocage, et split-horizon pour séparer les noms publics des noms internes.
• VPN (WireGuard) : accès distant chiffré au réseau privé.
• Séparation public / interne : seuls les services destinés au public sont exposés ; l’administration et les services internes restent privés.

Sécurité

• Conteneurs non privilégiés : cap_drop ALL, no-new-privileges, systèmes de fichiers en lecture seule lorsque c’est possible.
• Proxy socket Docker filtré pour l’ingress, plutôt qu’un montage direct du socket.
• Chiffrement des disques (LUKS) et clés SSH dédiées.
• Pare-feu restrictif par défaut (allow-list) et réduction de la surface exposée.
• Images épinglées par digest et hygiène de mise à jour.

Exploitation

• Sauvegardes régulières et restauration testée.
• Configuration versionnée (infrastructure as code).
• Journalisation et vérifications automatisées.

Pourquoi

Héberger soi-même, c’est se confronter aux vrais sujets d’ingénierie : la performance, la sécurité, la résilience et l’observabilité. Cette expérience nourrit directement le développement applicatif — on conçoit des logiciels dont le déploiement et l’exploitation sont pensés dès le départ.