archicratie-edition/docs/DEPLOY_PROD_SYNOLOGY_DS220.md

Déploiement production (Synology DS220+ / DSM 7.3) — Astro → Nginx statique

Dernière mise à jour : 2026-01-29

Ce document décrit la mise en place stable sur NAS :

• build Astro dans une image (Node)
• runtime Nginx statique
• bascule blue/green via Reverse Proxy DSM

---

1) Arborescence recommandée

Dossier racine :

• /volume2/docker/archicratie-web/current

Contenu attendu :

• Dockerfile
• docker-compose.yml
• nginx.conf
• .env
• le code du site (package.json, src/, scripts/, etc.)

---

2) Pré-requis DSM

• DSM 7.3 avec accès SSH (admin)
• Docker / Container Manager installé
• Reverse Proxy DSM configuré (Portail des applications)

---

3) Sécurité réseau (important)

On publie le site via HTTPS 443 sur DSM Reverse Proxy.

Les ports 8081/8082 :

• bindés en localhost uniquement (127.0.0.1:8081:80, 127.0.0.1:8082:80)
• n’ont PAS besoin d’être ouverts dans le pare-feu WAN
• servent uniquement à DSM Reverse Proxy (loopback)

---

4) Variables Gitea (Proposer)

Le site injecte des variables “publiques” au build :

• PUBLIC_GITEA_BASE (URL gitea)
• PUBLIC_GITEA_OWNER (casse sensible)
• PUBLIC_GITEA_REPO

Exemple dans .env : PUBLIC_GITEA_BASE=https://gitea.archicratie.trans-hands.synology.me PUBLIC_GITEA_OWNER=Archicratia PUBLIC_GITEA_REPO=archicratie-edition

5) Reverse Proxy DSM (le point clé)

DSM 7.3 : Panneau de configuration → Portail des applications → Proxy inversé

Règle pour le site :

Source : HTTPS / archicratie.trans-hands.synology.me / port 443

Destination : HTTP / 127.0.0.1 / port 8081 (BLUE) ou 8082 (GREEN)

Certificat :

Sécurité → Certificat : associer le bon certificat au nom de domaine.

6) Notes DS220+ “spécificités”

6.1 Build réseau (DNS/apt/npm)

Sur DSM, il arrive que apt-get ou des résolutions DNS échouent pendant docker build. Solution : build avec réseau host (déjà prévu dans compose) :

build: network: host

Et activer BuildKit : export DOCKER_BUILDKIT=1 export COMPOSE_DOCKER_CLI_BUILD=1

6.2 Artefacts Mac (PaxHeader / ._ / DS_Store)

Si tu transfères une archive depuis macOS, tu peux embarquer des dossiers/fichiers parasites. Conséquence possible : Astro “voit” un faux contenu (ex: PaxHeader/...mdx) → erreurs de schema.

Remède : .dockerignore robuste (voir anchors.md section “Artefacts Mac”).

7) Cycle blue/green (résumé)

Tu rebuild le slot inactif (ex: GREEN)

Tu valides en local (curl/smoke/health)

Tu bascules DSM vers ce port

Rollback immédiat : tu repasses DSM sur l’autre port

Pour l’opérationnel minute par minute, voir OPS_COCKPIT.md.