Ce que le collecteur lit. Ce qu’il n’écrit jamais.

• Le collecteur lit, il n’écrit jamais : aucune action automatique n’est exécutée sur un nœud, une VM ou un conteneur, et aucun droit d’écriture n’est demandé à Proxmox VE.
• Aucun canal entrant vers le collecteur : le collecteur ouvre lui-même sa connexion sortante vers la console. Il n’ouvre aucun port et l’API Proxmox n’est jamais exposée sur Internet.
• Pas de compte root pour lire les hôtes : un compte système dédié, sans mot de passe, limité par une commande forcée et une règle sudo qui interdit tout argument.
• Les clés d’hôtes sont épinglées : la vérification stricte est active et la mise à jour automatique des clés désactivée ; un jeu de clés modifié est refusé plutôt qu’accepté.

• Une source qui exigerait davantage de privilèges apparaît inaccessible dans Sources & preuves. Aucun droit d’écriture n’est attribué pour la débloquer, et les contrôles qui en dépendent restent « Non évaluable ».
• Le privilège d’agent invité sans restriction n’est jamais accordé au jeton principal : l’inspection des invités reste bornée au profil choisi.

proxtrace ALL=(root) NOPASSWD: /usr/local/libexec/proxtrace-read ""

• Commande forcée : le fichier de clés autorisées n’accepte que des entrées restreintes pointant vers le lecteur fixe. La commande envoyée par le client est ignorée.
• Shell inopérant : le shell du compte ne fait que lancer le lecteur et ignore tout argument qu’on lui passerait.
• Le compte ne possède rien : ni ses clés ni son dossier personnel ne lui appartiennent : il ne peut ajouter une clé ni retirer la commande forcée.
• Aucun droit élargi : aucune règle sudo générale, aucun groupe supplémentaire et aucune modification de la configuration SSH globale de l’hôte.
• Aucun paquet installé : l’installation n’installe rien sur les hyperviseurs. Si sudo est absent, le nœud le signale au lieu d’élargir ses droits.
• Compte existant refusé : un compte du même nom qui n’a pas été créé par ProxTrace, qui est privilégié ou qui appartient à un autre groupe est écarté.

• Vérification stricte : la vérification des clés d’hôtes est exigée et leur mise à jour automatique désactivée. Aucun échec de clé ne déclenche d’acceptation automatique.
• Origine administrative : les clés publiques proviennent des fichiers d’hôte locaux et, pour les pairs, du fichier de confiance de Proxmox par nœud. Une source absente, invalide ou modifiée bloque le nœud concerné.
• Changement refusé : une modification du jeu de clés d’un nœud connu est rejetée ; ses anciennes clés sont conservées et les autres nœuds continuent de fonctionner.
• Aucune clé privée copiée : aucun balayage de clés n’est lancé, aucune clé privée d’administration n’est copiée et le fichier de confiance reste administré par root.
• Connexion partagée : les lectures d’un même nœud passent par une seule connexion SSH, ouverte avec la même clé et la même empreinte d’hôte épinglée ; chaque lecture reste une commande forcée distincte. La connexion est renouvelée au moins toutes les 30 minutes : une clé retirée ou une empreinte modifiée s’applique dans ce délai. Le journal des nœuds n’enregistre pas une session par lecture.

• Aucune flèche en retour : la console ne dispose d’aucun moyen d’envoyer une commande, un script ou un argument au collecteur. Les capacités du collecteur sont fixes et déterminées par sa version installée.
• File locale : si la console est injoignable, les observations attendent dans la file locale du collecteur et repartent par lots au rétablissement, sans perte.
• Retrait après confirmation : la file n’est vidée qu’après réception de la liste exacte des événements acceptés. Une réponse partielle ou invalide conserve les données à réessayer.
• Tailles bornées : les lots sont plafonnés de part et d’autre, et la compression n’est utilisée que lorsqu’elle raccourcit réellement l’envoi.

• Rapports scellés : l’état d’une date reste consultable tel qu’il a été évalué. Un rapport déjà scellé n’est pas réécrit par une évaluation ultérieure.
• Une seule base : les observations, les événements et les rapports sont conservés dans PostgreSQL, côté console. En auto-hébergement, cette base et ses sauvegardes vous appartiennent entièrement.
• Durée de conservation : elle suit la configuration effective du déploiement qui héberge la console, et n’est pas fixée par cette page.

La rétention réglable par organisation, l’export complet des données et la suppression à la demande ne sont pas encore disponibles.

• Administrer Proxmox VE : Proxmox VE reste l’outil d’administration. ProxTrace n’exécute aucune action automatique sur les nœuds ou les machines.
• Surveiller les métriques en temps réel : le suivi continu du processeur, de la mémoire et du réseau reste le rôle de vos outils de monitoring.
• Certifier une infrastructure : les contrôles évaluent des bonnes pratiques et conservent les preuves disponibles ; cette évaluation ne constitue pas une certification.
• Suivre un autre hyperviseur : ProxTrace est conçu pour Proxmox VE uniquement, qu’il s’agisse d’un cluster ou d’un hôte seul.