Publication atomique du catalogue par lien symbolique, droits du volume, repli sur le catalogue de l'image

compose.yaml

@@ -13,12 +13,14 @@ services:
     image: ${ENCLUME_REGISTRY:-registry.tips-of-mine.com}/enclume/web:${ENCLUME_TAG:?definir ENCLUME_TAG dans .env}
     restart: unless-stopped
     environment:
-      ENCLUME_CATALOG: /catalogue
+      # catalog-sync publie chaque revision a cote et fait basculer ce lien.
+      # Si le volume est vide, l'application se rabat sur le catalogue de l'image.
+      ENCLUME_CATALOG: /catalogue/actuel
       GUNICORN_WORKERS: ${GUNICORN_WORKERS:-2}
       TZ: ${TZ:-Europe/Paris}
     volumes:
       - catalogue:/catalogue:ro
-    networks: [interne, traefik]
+    networks: [back_network_enclume, db_network_enclume, traefik_front_network]
     read_only: true
     tmpfs:
       - /tmp:size=32m,mode=1777
@@ -32,7 +34,7 @@ services:
       options: {max-size: "10m", max-file: "3"}
     labels:
       traefik.enable: "true"
-      traefik.docker.network: traefik
+      traefik.docker.network: traefik_front_network
       traefik.http.routers.enclume.rule: Host(`${ENCLUME_DOMAINE:?definir ENCLUME_DOMAINE}`)
       traefik.http.routers.enclume.entrypoints: websecure
       traefik.http.routers.enclume.tls.certresolver: ${TRAEFIK_RESOLVER:-cloudflare}
@@ -57,7 +59,7 @@ services:
       RELOAD_URL: http://web:8080/recharger
     volumes:
       - catalogue:/catalogue
-    networks: [interne]
+    networks: [back_network_enclume]
     security_opt: ["no-new-privileges:true"]
     deploy:
       resources:
@@ -78,7 +80,7 @@ services:
       TZ: ${TZ:-Europe/Paris}
     volumes:
       - donnees:/var/lib/postgresql/data
-    networks: [interne]
+    networks: [db_network_enclume]
     security_opt: ["no-new-privileges:true"]
     healthcheck:
       test: ["CMD-SHELL", "pg_isready -U enclume -d enclume"]
@@ -94,7 +96,15 @@ volumes:
   donnees:
 
 networks:
-  interne:
-    internal: true
-  traefik:
+  # Reseau du reverse proxy existant.
+  traefik_front_network:
     external: true
+
+  # catalog-sync doit joindre Gitea : ce reseau a donc un acces sortant.
+  back_network_enclume:
+    driver: bridge
+    attachable: true
+
+  # La base n'a aucune raison de sortir : elle reste isolee avec l'application.
+  db_network_enclume:
+    internal: true