v3 : seconde relecture — une coquille ne touche ni chiffre, ni signe, ni relation ; retour arrière du déploiement

- Correction de coquille : un chiffre, un signe, un séparateur dans un nombre ou
  une relation changés (« >= » → « <= », « + » → « - », « 182.625 » → « 182 625 »,
  « % » → « ‰ ») rendent la modification « de fond ». Testé dans le moteur et
  par l'API sur le vrai texte K1.
- Déploiement : les conteneurs retirés de la racine qui tournaient sont notés ;
  si la suite échoue, l'étape « retablir » arrête le produit et les relance.
  Le produit est recréé à chaque déploiement (--force-recreate).
- Cookies préfixés en https : __Host-ld_session, __Secure-ld_oauth (pas de
  cookie planté par un site voisin sous librodrome.org).
- syft épinglé (v1.55.0) dans les deux pipelines : ce conteneur a le socket Docker.
- Docs : limites connues assumées, groupe d'essai à deux voix, error.identity_kind.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.woodpecker/app.yml

@@ -46,7 +46,8 @@ steps:
       - /var/run/docker.sock:/var/run/docker.sock
     commands:
       - apk add --no-cache curl
-      - curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin latest
+      # Version épinglée : ce conteneur a le socket Docker, il n'exécute pas « main » de syft.
+      - curl -sSfL https://raw.githubusercontent.com/anchore/syft/v1.55.0/install.sh | sh -s -- -b /usr/local/bin v1.55.0
       - mkdir -p .reports
       # spec 1.5 épinglée : syft « latest » émet plus récent que ce que le trivy du runner décode
       - syft libredecision-app:latest -o cyclonedx-json@1.5 --file .reports/sbom-app.cyclonedx.json
@@ -105,12 +106,19 @@ steps:
       # « restart: always » : sinon un redémarrage de Docker le ramènerait, et fabio lui
       # donnerait /api/* (route la plus longue). Rien n'est supprimé ; la maquette est
       # recréée par son propre workflow, sous son nouveau domaine.
+      # Ceux qui tournaient sont notés dans /opt/libredecision-app/retires : si la suite
+      # échoue, l'étape « retablir » les relance (et seulement eux).
       - |
+        RETIRES=/opt/libredecision-app/retires
+        : > "$RETIRES"
         for TAG in "urlprefix-$DOMAIN/*" "urlprefix-$DOMAIN/api/*"; do
           for C in $(docker ps -aq --filter "label=SERVICE_3000_TAGS=$TAG") $(docker ps -aq --filter "label=SERVICE_8002_TAGS=$TAG"); do
             NAME=$(docker inspect --format '{{.Name}}' "$C")
             [ "$NAME" = "/lpk-libredecision-app" ] && continue
             echo "Retrait de $NAME de la racine (revendique $TAG)"
+            if [ "$(docker inspect --format '{{.State.Running}}' "$C")" = "true" ]; then
+              echo "$C" >> "$RETIRES"
+            fi
             docker update --restart=no "$C" >/dev/null
             docker stop "$C" >/dev/null
           done
@@ -136,7 +144,7 @@ steps:
           exit 1
         fi
       # Image construite localement dans la pipeline : pas de docker compose pull
-      - cd /opt/libredecision-app && docker compose up -d --remove-orphans
+      - cd /opt/libredecision-app && docker compose up -d --remove-orphans --force-recreate
       - cd /opt/libredecision-app && docker compose ps
 
   - name: test-deploy
@@ -153,10 +161,13 @@ steps:
         echo "PASS: conteneur running"
 
   # Le produit répond, et c'est bien ce commit qui répond.
+  # NOTE: volumes + pas de from_secret : compatible
   - name: healthcheck
     image: alpine:3.20
     depends_on:
       - test-deploy
+    volumes:
+      - /opt/libredecision-app:/opt/libredecision-app
     commands:
       - apk add --no-cache --quiet curl
       - |
@@ -169,7 +180,9 @@ steps:
           echo "Tentative $((i+1))/$MAX - $BODY"
           case "$BODY" in
             *'"ok":true'*"\"build\":\"$BUILD\""*|*"\"build\":\"$BUILD\""*'"ok":true'*)
-              echo "PASS: $BUILD repond sur $TARGET"; exit 0 ;;
+              echo "PASS: $BUILD repond sur $TARGET"
+              : > /opt/libredecision-app/retires
+              exit 0 ;;
           esac
           i=$((i+1))
           sleep 10
@@ -177,8 +190,39 @@ steps:
         echo "FAIL: $BUILD ne repond pas apres 10 minutes"
         exit 1
 
+  # Échec après le retrait de la racine : le produit s'arrête, ce qu'il avait retiré
+  # repart (restart: always rendu). Échec avant (construction, tests) : rien à faire,
+  # la liste est vide depuis le dernier déploiement réussi.
+  # NOTE: volumes + pas de from_secret : compatible
+  - name: retablir
+    image: docker:27-cli
+    # En graphe (depends_on), une étape sans dépendance démarrerait au début : celle-ci
+    # attend la fin du healthcheck (fait, échoué ou sauté).
+    depends_on:
+      - healthcheck
+    volumes:
+      - /var/run/docker.sock:/var/run/docker.sock
+      - /opt/libredecision-app:/opt/libredecision-app
+    commands:
+      - |
+        RETIRES=/opt/libredecision-app/retires
+        if [ ! -s "$RETIRES" ]; then echo "Rien a retablir"; exit 0; fi
+        # Hors de « restart: always » aussi, sinon un redémarrage de Docker le ramènerait
+        # à côté de ce qui revient ; le prochain déploiement le recrée (--force-recreate).
+        docker update --restart=no lpk-libredecision-app >/dev/null 2>&1 || true
+        docker stop lpk-libredecision-app >/dev/null 2>&1 || true
+        for C in $(cat "$RETIRES"); do
+          echo "Retour de $(docker inspect --format '{{.Name}}' "$C" 2>/dev/null || echo "$C")"
+          docker update --restart=always "$C" >/dev/null && docker start "$C" >/dev/null || echo "  echec pour $C"
+        done
+        : > "$RETIRES"
+    when:
+      - status: failure
+
   - name: notify-failure
     image: alpine:3.20
+    depends_on:
+      - retablir
     commands:
       - 'echo "ECHEC pipeline app #$CI_PIPELINE_NUMBER sur $CI_COMMIT_BRANCH ($CI_COMMIT_SHA)"'
     when:

.woodpecker/maquette.yml

@@ -71,7 +71,8 @@ steps:
       - /var/run/docker.sock:/var/run/docker.sock
     commands:
       - apk add --no-cache curl
-      - curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin latest
+      # Version épinglée : ce conteneur a le socket Docker, il n'exécute pas « main » de syft.
+      - curl -sSfL https://raw.githubusercontent.com/anchore/syft/v1.55.0/install.sh | sh -s -- -b /usr/local/bin v1.55.0
       - mkdir -p .reports
       # spec 1.5 épinglée : syft « latest » émet plus récent que ce que le trivy du runner décode
       - syft libredecision-backend:latest -o cyclonedx-json@1.5 --file .reports/sbom-backend.cyclonedx.json