Empêcher un redémarrage dangereux après une panneAdmission systemd et reprise après reboot

« Je veux comprendre » affiché. Ce choix sera repris sur les autres fiches. La décision de mise en service et les risques restent toujours visibles.

Décision actuelle: mise en service interdite pour l’instant. Deux coupures forcées et 81/81 contrôles ciblés sont acquis. Sans hébergement réel, le nettoyage de secours attend la disparition d’un témoin expiré, confirme trois fois son absence, refuse une ressource rattachée en course et ne traite que les identifiants attendus. L’absence observée couvre une seule zone et quatre types de ressources; l’absence d’écriture concurrente reste une condition à garantir. Le nettoyage Scaleway réel et la perte complète du contrôleur ne sont pas encore exercés. Ce qui reste à faire: Rejouer la chaîne sur un hôte amd64 natif candidat avec la vraie image Navy Phone, une release signée, des défaillances de stockage contrôlées, le média, un appel et une validation indépendante.Décision actuelle: promotion NO-GO, pas de mise en production. PROUVÉ sur le snapshot recovery fermé à 126 sources au digest c25ee67a0a9302cf532a546a33c895a3b27dfc6a7121efa1c3ef5ad8b2a27e6f et au digest d’entrées 5c64e87449a54a644cb8cf26c12fc65999c81ab2b3ebee8a01be832153d05902: 48/48 tests telephony-backup-restore et 81/81 sur quatre suites ciblées. Le rapport systemd v6 historique prouve séparément, dans une VM QEMU x86_64 émulée, jetable et locale non signée, deux arrêts forcés, trois boot ID, l’adoption stale, la révocation de l’ancien token, le finalizer positif, la reprise synthétique et le refus d’un reçu corrompu. Les contrats du reaper provider, exercés avec CLI factice, imposent un canari déjà expiré supprimé avant toute ressource facturable, un run réussi strictement postérieur et trois absences consécutives. La suppression du serveur est non cascade; les UUID exacts du groupe de sécurité, du volume et de l’IP sont contrôlés avant suppression, y compris par GET direct lorsque les listes sont vides. Une course de rattachement arrête le nettoyage au lieu de supprimer la ressource. L’inventaire vide porte uniquement sur serveur, groupe de sécurité, volume et IP dans le Project et la zone sélectionnés; les autres zones et familles ne sont pas observées, et l’exclusivité des écritures IAM reste une hypothèse. Le budget de 0,10 EUR couvre seulement les ressources du lab et exclut le Job partagé. Le coût compute s’arrête à serverDeletedAt; le coût IPv4 et volume s’arrête à billableAttachmentsAbsentAt. Le workspace temporaire est créé seulement après readiness du reaper et armement du nettoyage persistant, puis supprimé après finalisation. Tous les NAVY_SCALEWAY_TEST_* sont refusés avant provider hors du harnais hermétique exact; le catalogue synthétique est impossible en réel. Trois arrêts SIGKILL sont prouvés causalement. Le parseur du catalogue traverse deux pages synthétiques; l’API publique réelle reste non prouvée. Aucun P0/P1 ne reste en contre-revue: essai payant borné GO seulement sous Node 22.23.2, Project et profil dédiés, opérateur local de confiance. P2: vérificateur statique lexical et TOCTOU local théorique même UID entre hash et exécution. NON PROUVÉ: vrai Job ou provider cloud exécuté, perte complète du contrôleur, hôte cloud candidat, vraie image Navy Phone, release signée, média et appel réel. Production NO-GO. Blockers: Job Scaleway réel, perte complète du contrôleur, hôte cloud amd64 natif candidat, vraie image Navy Phone, défaillances de stockage contrôlées, release signée avec SBOM et policy CVE, contrôle média et attestation CI autorisée.