Task: Lot 2 Dashboard + Auth fixes ai-orchestrator

Date: 16/02/2026 Status: TERMINE

1. Lot 2 — Backend (monitoring repo)

Repo: gouroubleu/dashboard-33800 (monitoring/) Commit: e811139 Pipeline: #1104 success

Ajouts

• backend/src/collectors/ssh.ts — collectZfsDetail() :

  • Parse zpool status (nom pool, state, RAID type, scan/scrub, disques avec erreurs R/W/cksum)
  • Parse zfs list (datasets avec used/avail/mountpoint)
  • Rattache les datasets aux pools correspondants

• backend/src/collectors/alerts.ts — NOUVEAU :

  • Agrege alertes depuis cache (pas de collecteur separe)
  • Sources: ZFS (degraded/errors/usage>85%), system (memory>90%/disk>80%), docker (non-running), services (non-ok)
  • Tri par severite (critical > warning > info)

• backend/src/routes/infra.ts — Ajout /api/infra/zfs/detail (cache 120s)

• backend/src/routes/alerts.ts — NOUVEAU /api/alerts (pas de cache, lit le cache existant)

• backend/src/index.ts — Enregistrement alertsRoutes

Test endpoints

GET /api/infra/zfs/detail → 2 pools (stock_36to: 5 disks, stock_8to: 3 disks)
GET /api/alerts → 2 alertes (gitlab error, container dead)

2. Lot 2 — Frontend (dashboard-33800-frontend repo)

Repo: gouroubleu/dashboard-33800-frontend Commit: 222686c Pipeline: #1105 success

Ajouts

• src/lib/types.ts — Types ZfsPoolDetail et Alert
• src/lib/api.ts — Methodes infraZfsDetail() et alerts()
• src/routes/raidz/index.tsx — Page RAIDZ :
  • Pool header (nom, state, badge, type RAID)
  • Info scrub
  • Table disques (device, state, read/write/cksum errors)
  • Table datasets (name, used, avail, mountpoint)
  • Auto-refresh 120s
• src/routes/alerts/index.tsx — Page Alerts :
  • 4 cartes resume (total, critical, warning, info) cliquables pour filtrer
  • Liste alertes filtrable par severite
  • Badge source + message + valeur
  • Auto-refresh 30s
• src/routes/layout.tsx — Navbar :
  • RAIDZ ajoute dans dropdown Infra
  • Alerts ajoute comme item principal

Test

GET /raidz/  → 200 OK
GET /alerts/ → 200 OK

3. Auth ai-orchestrator — Instance connectors-api

Contexte: L'audit securite (commit 2f8786c du 15/02) a active l'auth Bearer sur ai-orchestrator. Les services appelant ai-orchestrator via le proxy connectors-api recevaient 401.

Etat des appelants ai-orchestrator

Fix applique

Instance Supabase connectors.user_connectors :

• ID: be38d9cf-90c0-4836-be73-260cb9c51e5c
• Nom: "AI Orchestrator"
• api_key mis a jour avec la valeur de AI_ORCHESTRATOR_API_KEY depuis prod.env
• Le connector type ai-orchestrator a auth_type: 'api_key' avec header: Authorization, prefix: Bearer
• connectors-api construit automatiquement le header Authorization: Bearer <api_key> depuis l'instance

Verification web-search et scraper

4. SSH_ENCRYPTION_KEY — Ajout dans prod.env

Contexte: connectors-api chiffre les passwords SSH avec AES-256-CBC (cle derivee via scrypt depuis SSH_ENCRYPTION_KEY). Le code avait un fallback hardcode default-key-change-in-production-32! utilise en prod car la cle n'etait pas dans prod.env.

Fix: Ajout de SSH_ENCRYPTION_KEY=default-key-change-in-production-32! dans /stock_8to/33800-stack/docker/secrets/prod.env

• Meme valeur que le fallback → aucun impact sur les passwords existants
• Smart-deploy resout @SSH_ENCRYPTION_KEY dans conf.prod de connectors-api
• La cle est maintenant backupee avec les autres secrets

Fichier: connectors-api/src/services/ssh.ts lignes 105-124 Algo: AES-256-CBC, IV random 16 bytes, cle derivee via crypto.scryptSync(key, 'salt', 32) Format stocke: <iv_hex>:<encrypted_hex> dans token_metadata.password_encrypted

5. Code modifie non commite (en attente)

browser-connector (src/services/ai.ts)

• Ajout AI_ORCHESTRATOR_API_KEY env var
• Ajout authHeaders() helper (Content-Type + Bearer si cle presente)
• 3 fetch vers ai-orchestrator mis a jour avec auth headers
• conf.prod.gouroubleu.yml: ajout AI_ORCHESTRATOR_API_KEY: @AI_ORCHESTRATOR_API_KEY

claude-memory

• src/config.py: ajout AI_ORCHESTRATOR_API_KEY env var
• src/embeddings.py: ajout _auth_headers() helper + Bearer sur POST /api/jobs et GET /api/tools
• conf.prod.gouroubleu.yml: pas encore modifie (a faire)

Ces changements sont necessaires car browser-connector et claude-memory appellent ai-orchestrator directement (pas via le proxy connectors-api). Sans le Bearer, leurs appels retournent 401.

Fichiers modifies