Architecture
Internet
HTTPS 443
Raspberry Pi 5 · Docker
Proxy
Traefik · TLS auto
Portail
Nginx, ce site
Comptes
Authentik, OIDC
Brain MCP
Python
Pantry MCP
Python, Grocy
Choix techniques
Un compte pour tous les services
Les joueurs se connectent avec Google ou Discord, via un fournisseur d’identité OIDC unique. Aucun mot de passe local à protéger.
Admin jamais exposée
Aucune interface d’administration n’est accessible depuis Internet : elles ne répondent que sur le réseau privé.
HTTPS sans y penser
Un certificat wildcard renouvelé automatiquement par challenge DNS : un nouveau sous-domaine est en HTTPS dès son déploiement.
Un dépôt par service
Chaque service a son dépôt, son compose et un README qui suffit pour le remettre en production de zéro.
Ce que j’en retiens
L’authentification, surtout. OIDC paraît simple sur le papier, mais entre les flows de connexion, les fournisseurs sociaux et le cloisonnement entre les services, c’est là que j’ai passé le plus de temps, et appris le plus.
Ensuite, la discipline d’exploitation : sur une machine unique, chaque service doit pouvoir être reconstruit à partir de son dépôt et de son README, sans mémoire de ce qui avait été fait à la main. Et un Raspberry Pi oblige à rester sobre : images ARM64, peu de mémoire, pas de service superflu.
Si c’était à refaire, j’automatiserais le déploiement plus tôt, au lieu de garder des étapes manuelles le temps que l’architecture se stabilise.