# Transition VPS Contabo — bascule le jour du remplacement HDD + reset volume

**Statut** : plan validé (10/07/2026). Déclenché uniquement le jour du swap HDD (achat sept. 2026, prudence — pas d'imminence).
**Objectif** : zéro coupure métier pendant la recréation du volume JBOD (qui efface tout `/volume1`).

## Principe
VPS = **doublure vivante** du noyau métier pendant le chantier. Il n'héberge pas tout le stack, juste le strict nécessaire. La restauration réelle se fait depuis le **backup USB** (`scripts/backup-usb.sh`) une fois les HDD neufs posés.

## Noyau critique (validé) — seul à lifter
- **n8n** (+ clé `n8n/config` — sans elle, credentials perdus)
- **Baserow** (host `baserow.bolbol.tn`, jamais d'IP 172.27.x.x en dur)
- **hermes-tt** (3010, achats TT)
- **nyora-doc-api** (3050, moteur documentaire unique)
- **Mémoire** : NyoraNotes, context-hub, miroir Gitea `nas-runbooks`

Le reste (2 autres hermes, family-help, media, veille…) reste éteint pendant la fenêtre.

## Tailscale = la fenêtre (pas de flip DNS public)
Tailscale sur **VPS + NAS + iPhone + iPad** (wg-easy décommissionné 08/07). Connectivité inter-nœuds et accès Nabil via **tailnet + MagicDNS** — pas de bascule DNS publique ni reverse-proxy public. On repointe les noms internes vers le VPS via MagicDNS ; accès iPhone/iPad par le tailnet.

## Contraintes Contabo 12 Go / 200 Go (sinon échec)
- **RAM partagée** : qBittorrent-nox + WireGuard natifs. → **Pause qBittorrent** pendant la fenêtre.
- **Disque loti** 100 restic + 100 qBittorrent. → **Geler restic + qBittorrent**, ne monter que les **volumes du noyau**.
- **Montée maison = 2 Mo/s** (piège : réel 16 Mbps, pas 2 Mbps). → **Pré-charger à J-3**, seulement un **delta** le jour J. Jamais de lift complet en direct.

## mcp-vps = mes mains sur le VPS pendant le blackout
Instance linux-mcp sur le VPS, calquée sur linux-mcp-nas, sur l'user **`claude-oversight`**. MAJ 10/07/2026 : user créé (Objectif A) avec **sudoers scopé** (pas NOPASSWD:ALL), alerte Telegram sur connexion interactive, accès Tailscale SSH seul. L'instance linux-mcp elle-même reste à déployer. Voir `common/vps-memory-node.md`.

⚠️ Constat 10/07 : **NAS→VPS port 22 tailnet KO** (Tailscale Synology en userspace) — VPS→NAS fonctionne. Le « delta final NAS→VPS » du jour J se fera en **pull depuis le VPS** (clé restreinte déjà en place, cf. vps-memory-node.md).

## Séquence jour J
1. **J-3** : VPS pré-chargé (noyau + volumes), qBittorrent/restic gelés.
2. **J** : delta final NAS→VPS via tailnet.
3. Bascule accès métier vers VPS (MagicDNS).
4. Swap HDD + recréation volume NAS.
5. **Restauration depuis USB** (`/volumeUSB1/usbshare/nas-backup/<date>/`, marqueur `_BACKUP_OK`).
6. Re-sync retour VPS→NAS (delta) + vérif.
7. Bascule inverse vers NAS, dégel qBittorrent/restic.

## Fondation obligatoire
Rien ne tient sans **backup USB à jour et vérifié**. Second support (ou Hyper Backup) à prévoir : l'USB est un disque unique, et le SSD de backup a lâché le 10/07.