Restaurer la base locale sans toucher à la vraieLaboratoire de reprise navy.db strict v2

« Je veux comprendre » affiché. Ce choix sera repris sur les autres fiches. La décision de mise en service et les risques restent toujours visibles.

Décision actuelle: mise en service interdite pour l’instant. L’ensemble figé couvre 126 sources et passe 48/48 tests de sauvegarde-restauration, soit 81/81 sur quatre séries ciblées. Il vérifie 42 scénarios de panne exigés sans créer de ressource réelle. Un témoin déjà expiré doit disparaître avant toute dépense; le nettoyage refuse une ressource rattachée en course et ne traite que les identifiants attendus. L’absence observée couvre une seule zone et quatre types de ressources; l’absence d’écriture concurrente reste une condition à garantir. Le nettoyage Scaleway réel et la perte complète du contrôleur restent non testés. Ce qui reste à faire: Il faut signer la version et ses composants, restaurer une archive candidate sur un hôte amd64 natif représentatif, exercer les défaillances de stockage et écritures interrompues, faire vérifier le tout par un runner CI autorisé puis contrôler le vrai service, le média et un appel.Décision actuelle: promotion NO-GO, pas de mise en production. PROUVÉ sur le snapshot recovery fermé à 126 sources au digest c25ee67a0a9302cf532a546a33c895a3b27dfc6a7121efa1c3ef5ad8b2a27e6f et au digest d’entrées 5c64e87449a54a644cb8cf26c12fc65999c81ab2b3ebee8a01be832153d05902: 48/48 tests telephony-backup-restore et 81/81 tests sur telephony-backup-restore, telephony-maintenance-lock, telephony-recovery-image-archive et telephony-restore-provenance. La suite conserve 42 scénarios hostiles internes, dix-neuf fenêtres prepare/authorize, huit contrôles d’admission, huit limites, une adoption stale, le finalizer committed-success, deux smokes du repository lifecycle et le nettoyage à zéro. Les contrats du reaper provider vérifient aussi, avec CLI factice, qu’un canari déjà expiré est supprimé avant toute ressource facturable, qu’un run réussi est strictement postérieur à sa création et que trois observations consécutives confirment son absence. Le serveur est supprimé sans cascade, puis seuls les UUID exacts du groupe de sécurité, du volume et de l’IP sont traités; une course de rattachement est refusée et un GET direct contrôle les UUID mémorisés lorsque les listes du projet sont temporairement vides. L’inventaire vide porte uniquement sur ces quatre familles dans le Project et la zone sélectionnés; les autres zones et familles ne sont pas observées, et l’exclusivité des écritures IAM reste une hypothèse d’exploitation. Le plafond de 0,10 EUR couvre uniquement le DEV1-M, son IPv4 flexible et son volume local de 40 Go; le Job partagé est exclu. Le coût compute court jusqu’à serverDeletedAt, tandis que l’IPv4 et le volume courent jusqu’à billableAttachmentsAbsentAt. Le workspace temporaire est créé seulement après readiness du reaper et armement du nettoyage persistant, puis supprimé après finalisation et absence attestée des ressources. Tous les NAVY_SCALEWAY_TEST_* sont refusés avant toute commande provider hors du harnais hermétique exact; le catalogue synthétique ne peut donc pas activer un run réel. Trois arrêts SIGKILL sont vérifiés causalement aux frontières du nettoyage persistant et du workspace. Le parseur du catalogue traverse deux pages synthétiques; l’API publique Scaleway réelle reste NON PROUVÉE. La contre-revue ne trouve aucun P0/P1: un essai Scaleway payant borné est GO uniquement sous Node 22.23.2, avec Project et profil dédiés et opérateur local de confiance. Ce GO ne vaut pas production. P2 ouverts: le vérificateur statique reste lexical et un TOCTOU local théorique, sous le même UID, subsiste entre hash et exécution. Le rapport systemd v6 local, émulé et non signé reste une preuve historique séparée de coupures forcées, adoption stale, finalizer positif et refus fail-closed. NON PROUVÉ: vrai Job ou provider cloud exécuté, perte complète du contrôleur, hôte cloud candidat, version signée, archive de production, service Navy Phone complet, média, carrier, PSTN et RPO/RTO. Verdict production NO-GO. Blockers: Release signée avec SBOM et seuil CVE, runner CI autorisé, archive candidate production, stockage hors site verrouillé, coupure cohérente base/enregistrements, PITR, RPO/RTO, hôte cloud candidat amd64 natif, défaillances de stockage et écritures interrompues, redémarrage du processus Navy Phone et du média, appel de contrôle et exercice sur l’hébergement cible restent à prouver.