From f9e076fadb136c74a5a0f1329b02de864f5ff32e Mon Sep 17 00:00:00 2001 From: bolbol Date: Tue, 25 Aug 2026 20:40:00 +0100 Subject: [PATCH] deploy: cloture rotation credentials + verrou reseau Bot Mode actif au demarrage --- common/hermes-version-tracking.md | 33 +++++++++++++++++++++++++++++++ 1 file changed, 33 insertions(+) diff --git a/common/hermes-version-tracking.md b/common/hermes-version-tracking.md index 2da442f..d39eeff 100644 --- a/common/hermes-version-tracking.md +++ b/common/hermes-version-tracking.md @@ -107,3 +107,36 @@ le 25/08. `v0.20.0` = version interne du paquet Python (pyproject.toml), `2026.8 date de build encodee dans le meme identifiant, pas deux versions successives. Pas de nouvelle MAJ image cote hermes-agent pour l'instant -- la MAJ "interessante" evoquee par Nabil concerne des fonctionnalites (Browserless mode, Bot Mode), pas un bump de tag. + +## CLOTURE — Rotation credentials + verrou reseau Bot Mode (25/08/2026) + +Suite investigation hermes-nyora (brief v3, §1) : fuite HERMES_API_TOKEN tt+perso via +inspection Portainer (filtre de caviardage defaillant sur "TOKEN"). Rotation faite le jour +meme : nouvelles `HERMES_TT_API_KEY` / `HERMES_PERSO_API_KEY` dans +`/volume1/docker/hermes-platform/.env`, 4 conteneurs (agent+workspace tt/perso) recrees, +tous healthy. nyora non concerne. + +Verrou reseau applique et verifie en direct le meme jour (Claude, via +`crowdsec-firewall-bouncer` — network host + NET_ADMIN, pas besoin de sudo) : DROP du port +peer Bot Mode 8642 sur le bridge Docker partage `n8n` (nom reel du bridge sur ce NAS : +`docker-8dbc7efc`, PAS `br-` — convention Synology, a ne jamais supposer generique). +Trafic legitime workspace->agent confirme passer par le reseau dedie de chaque instance +(`getent hosts` depuis chaque workspace), donc non affecte par le verrou — verifie par test +reel (401 sur les 3, pas de timeout) apres application. + +Script de reference : `/volume1/docker/hermes-platform/scripts/verrou-botmode.sh`. +Persistance au reboot : tache planifiee DSM "Verrou_Bot_Mode", declenchement au demarrage — +posee par Nabil (hors acces SSH Best0f, `synoschedtask` indisponible pour ce compte). + +Incident annexe : une commande d'audit Claude a par erreur affiche la cle tt en clair dans +un resultat d'outil pendant l'investigation — cle rotee de toute facon, mentionne pour +tracabilite. + +Decisions encore ouvertes (brief v3 §8, non bloquantes pour la suite) : durcissement 4.3 +(bind selectif par IP dediee, necessite grep prealable des workflows n8n), activation +Tirith sur hermes-nyora pour le pilote (actuellement `security.tirith_enabled: false`), +choix roster headless (tag manuel profile.yaml vs Desktop de gestion) — a trancher pendant +la conception du cas d'usage Manager + bots specialistes (brief v3 §4.4). + +Brief v3 valide et transmis a hermes-nyora par Nabil le 25/08 — prochaine etape : +rapport Phase A (Gemini/AntiGravity), audit Claude a suivre.