docs(common): contenu runbook transition VPS Contabo swap HDD

common/vps-transition-swap-hdd.md

@@ -0,0 +1,39 @@
+# Transition VPS Contabo — bascule le jour du remplacement HDD + reset volume
+
+**Statut** : plan validé (10/07/2026). Déclenché uniquement le jour du swap HDD (achat sept. 2026, prudence — pas d'imminence).
+**Objectif** : zéro coupure métier pendant la recréation du volume JBOD (qui efface tout `/volume1`).
+
+## Principe
+VPS = **doublure vivante** du noyau métier pendant le chantier. Il n'héberge pas tout le stack, juste le strict nécessaire. La restauration réelle se fait depuis le **backup USB** (`scripts/backup-usb.sh`) une fois les HDD neufs posés.
+
+## Noyau critique (validé) — seul à lifter
+- **n8n** (+ clé `n8n/config` — sans elle, credentials perdus)
+- **Baserow** (host `baserow.bolbol.tn`, jamais d'IP 172.27.x.x en dur)
+- **hermes-tt** (3010, achats TT)
+- **nyora-doc-api** (3050, moteur documentaire unique)
+- **Mémoire** : NyoraNotes, context-hub, miroir Gitea `nas-runbooks`
+
+Le reste (2 autres hermes, family-help, media, veille…) reste éteint pendant la fenêtre.
+
+## Tailscale = la fenêtre (pas de flip DNS public)
+Tailscale sur **VPS + NAS + iPhone + iPad** (wg-easy décommissionné 08/07). Connectivité inter-nœuds et accès Nabil via **tailnet + MagicDNS** — pas de bascule DNS publique ni reverse-proxy public. On repointe les noms internes vers le VPS via MagicDNS ; accès iPhone/iPad par le tailnet.
+
+## Contraintes Contabo 12 Go / 200 Go (sinon échec)
+- **RAM partagée** : qBittorrent-nox + WireGuard natifs. → **Pause qBittorrent** pendant la fenêtre.
+- **Disque loti** 100 restic + 100 qBittorrent. → **Geler restic + qBittorrent**, ne monter que les **volumes du noyau**.
+- **Montée maison = 2 Mo/s** (piège : réel 16 Mbps, pas 2 Mbps). → **Pré-charger à J-3**, seulement un **delta** le jour J. Jamais de lift complet en direct.
+
+## mcp-vps = mes mains sur le VPS pendant le blackout
+Instance linux-mcp sur le VPS, calquée sur linux-mcp-nas, sur l'user **`claude-oversight`** (sudo NOPASSWD:ALL en place, alerte Telegram par connexion, PermitRootLogin off). Joignable par le tailnet.
+
+## Séquence jour J
+1. **J-3** : VPS pré-chargé (noyau + volumes), qBittorrent/restic gelés.
+2. **J** : delta final NAS→VPS via tailnet.
+3. Bascule accès métier vers VPS (MagicDNS).
+4. Swap HDD + recréation volume NAS.
+5. **Restauration depuis USB** (`/volumeUSB1/usbshare/nas-backup/<date>/`, marqueur `_BACKUP_OK`).
+6. Re-sync retour VPS→NAS (delta) + vérif.
+7. Bascule inverse vers NAS, dégel qBittorrent/restic.
+
+## Fondation obligatoire
+Rien ne tient sans **backup USB à jour et vérifié**. Second support (ou Hyper Backup) à prévoir : l'USB est un disque unique, et le SSD de backup a lâché le 10/07.