ObsiGate/docs/features/devprod-urls-config-223.md

#223 — Dev/prod sans noms publics en dur : URLs de l'écosystème par configuration

Ouvert le 2026-10-25 (chantier dev/prod de Bruno). Contexte : l'installation actuelle (deepin.lab.home) devient l'environnement dev (noms en -dev), la future installation (jump.point.mint.home) sera la prod (noms officiels sans suffixe), identique sauf noms et clés. Règle : aucun nom public de l'écosystème codé en dur dans le code vivant ; défauts = noms officiels ; le dev déclare ses -dev dans son seul .env.

Configuration (nouveau module backend/draco_config.py)

Lecture à l'appel, jamais à l'import. Défauts officiels :

Variable	Défaut officiel	Rôle
DRACO_AGENT_URL	https://agent.dracodev.net	Base du service d'agents. À défaut : origine dérivée d'AGENT_EVENEMENTS_URL, puis défaut.
DRACO_OBSIGATE_URL	https://og.dracodev.net	Liens profonds ObsiGate
DRACO_FLOWDECK_URL	https://flowdeck.dracodev.net	Liens profonds Flowdeck
DRACO_TIKTAK_URL	https://tiktak.dracodev.net	Liens profonds TikTak
DRACO_KANBANTE_URL	https://kanbante.dracodev.net	Onglet Kanbante de la barre
DRACO_GITEA_URL	https://git.dracodev.net	Cartes Kanbante (= issues Gitea). Distincte d'OBSIGATE_GITEA_URL (source connectée de l'assistant).

AGENT_EVENEMENTS_URL (existant, #220) reste la configuration première du journal d'événements ; agent_journal._url() retombe sur DRACO_AGENT_URL + /api/v1/evenements quand elle est absente.

Backend

• CSP (backend/main.py, SecurityHeadersMiddleware) : connect-src et frame-src utilisent draco_config.agent_origine() — dérivée de la config à chaque réponse, plus aucun littéral. Tests dans tests/test_security_headers.py via la config (défaut officiel neutralisé, dérivation depuis AGENT_EVENEMENTS_URL, priorité DRACO_AGENT_URL).
• Références croisées (backend/external_refs.py) :
  • parse_deep_link reconnaît les hôtes officiels et configurés (draco_config.hotes_reconnus()) — un lien collé depuis le dev comme depuis la prod est reconnu.
  • build_deep_link(app, type, id) construit l'URL d'affichage depuis la config ; list_refs / get_ref / delete_ref servent des copies dont target_url est reconstruite à la lecture. ⚠️ Les références stockées (data/external_refs/*.json) gardent l'URL absolue collée par l'utilisateur : aucune migration, la valeur stockée n'est simplement plus jamais servie telle quelle.
• WebAuthn — confirmé, aucun changement : resolve_relying_party() (backend/auth/webauthn_mfa.py, BUG-070) dérive rp_id/origines de la requête (hôte exact, X-Forwarded-Host/X-Forwarded-Proto honorés si OBSIGATE_TRUST_PROXY=true), et OBSIGATE_WEBAUTHN_RP_ID / OBSIGATE_WEBAUTHN_ORIGINS priment quand ils sont posés. Aucun nom figé.

Frontend (contrat d'injection de dracodev-commons)

L'hôte fournit les URL : backend/main.py::_index_html() injecte window.DRACO_URLS = {…} (JSON issu de draco_config.urls_publiques(), nonce CSP par le mécanisme existant) dans index.html au service.

• frontend/draco-panneau.js : API = window.DRACO_URLS.agent || défaut officiel ; appHote() retire un suffixe -dev éventuel du premier label d'hôte (og-dev → obsigate pour le lien profond ?app=).
• frontend/draco-liens.js : « Ouvrir dans TikTak » = window.DRACO_URLS.tiktak || défaut officiel.
• frontend/index.html : les href des onglets portent les défauts officiels ; le script de configuration de la barre les réécrit depuis DRACO_URLS. Le menu des apps (draco-barre.js) est construit depuis ces onglets : il suit donc sans changement.
• Chemin réellement servi : /static/draco-*.js via le montage StaticFiles, Cache-Control: no-cache posé par SecurityHeadersMiddleware sur /static/*, et service worker network-first pour le code — aucun cache-busting par empreinte n'existe (revalidation systématique).

Restes assumés

• Suffixe SSO dracodev.net (draco_session.validate_return_to, frontend/js/auth.js) : ce n'est pas un nom d'hôte mais le domaine parent commun aux deux environnements (les noms -dev restent des sous-domaines) ; le domaine du cookie est déjà configurable (DRACO_SESSION_COOKIE_DOMAIN).
• Mentions textuelles (titres/messages du panneau, contact OpenAPI et lien « À propos » vers le dépôt Git) : infra Git hors périmètre, ou libellés.
• OBSIGATE_SEARXNG_URL : déjà configurable, défaut officiel conservé.
• Le panneau reste un asset partagé : la même ligne d'injection doit être recopiée dans les 3 autres apps par leurs chantiers respectifs pour retrouver l'octet-identique.