Administration et maintenance

Ces commandes s'exécutent contre un déploiement plutôt que contre une configuration : créer le compte qui pourra se connecter, produire et fixer les secrets attendus par l'environnement, et mettre à niveau le binaire en place.

sovrium admin create

Provisionne un utilisateur administrateur directement dans la base de données. C'est le chemin d'amorçage : il n'exige ni serveur en cours, ni configuration complète.

# Demander le mot de passe (écho désactivé, comme sudo)
sovrium admin create me@example.com

# Le fournir sans interaction (CI, scripts de provisionnement)
sovrium admin create me@example.com --password 's3cret-pass'

# Résoudre les réglages d'authentification depuis une configuration précise
sovrium admin create me@example.com --config app.yaml

La configuration d'authentification est résolue dans cet ordre : un --config <path> explicite, puis APP_SCHEMA, puis un schéma par défaut minimal intégré — la forme simple fonctionne donc sans aucun fichier de configuration. Les migrations s'exécutent d'abord : la commande fonctionne aussi contre une base vide.

Deux points à connaître avant de la scripter :

• Sans TTY et sans --password, c'est une erreur. Dans un shell non interactif, vous devez passer --password, sinon la commande sort en 1 au lieu de bloquer sur une invite.
• Elle est idempotente. Si l'adresse possède déjà un compte, rien n'est modifié.

Si la configuration résolue n'a pas de bloc auth, la commande refuse et vous demande d'en ajouter un.

sovrium secret generate

Affiche des secrets fraîchement générés, cryptographiquement aléatoires, sous forme de lignes .env prêtes à coller. Chacun fait 256 bits, rendus en 64 caractères hexadécimaux.

sovrium secret generate                  # les deux
sovrium secret generate auth >> .env     # en ajouter un à votre .env
sovrium secret generate encryption       # clé de chiffrement uniquement

Aucun des deux secrets n'a besoin d'être défini. Une SOVRIUM_ENCRYPTION_KEY absente est générée et conservée dans le répertoire de données au premier démarrage, et AUTH_SECRET en dérive. Générez-les quand vous voulez les gérer vous-même — voir Secrets pour savoir quand cela en vaut la peine.

sovrium secret adopt

Écrit la clé de chiffrement que ce processus possède déjà dans <répertoire de données>/encryption-key, là où le serveur va la chercher.

C'est la seule commande qui persiste délibérément un secret, et elle existe pour une seule migration. Un déploiement qui a toujours fourni SOVRIUM_ENCRYPTION_KEY ne peut pas simplement cesser de le faire : le démarrage suivant ne trouverait aucun fichier de clé, en générerait une nouvelle, et abandonnerait en silence tous les identifiants stockés que l'ancienne protégeait. L'adopter d'abord rend le retrait de la variable sans effet.

export SOVRIUM_ENCRYPTION_KEY=<la clé actuellement utilisée>
sovrium secret adopt

Encryption key adopted — written to /srv/app/.sovrium/encryption-key (mode 0600)

Trois issues, et la troisième est la raison d'être de la commande :

Écraser une clé différente rendrait illisible tout ce qui a été chiffré avec celle qui est enregistrée, et vous seul savez laquelle des deux fait foi. Conservez la clé persistée en retirant la variable, ou supprimez d'abord le fichier si c'est l'environnement qui porte la clé ayant réellement chiffré vos données.

sovrium update

Met à jour Sovrium vers la dernière version publiée. Ce qui se passe réellement dépend de la méthode d'installation, que la commande détecte pour vous :

sovrium update
sovrium update --help

Déléguer à Homebrew et Scoop plutôt que s'auto-remplacer est délibéré : cela conserve la cohérence du registre de versions du gestionnaire de paquets. Un conteneur Docker ne peut pas se mettre à jour lui-même : ce chemin affiche donc la commande pull à la place.

Pages associées

• Aperçu du CLI — la surface complète des commandes.
• Variables d'environnement — où vont les secrets générés.
• Gestion des utilisateurs — gérer les comptes après le premier administrateur.
• Durcissement de la sécurité — rotation des secrets et posture de déploiement.