Ce qui constitue votre déploiement
Deux choses, et deux seulement : votre dossier de déploiement (votre contexte en fichiers markdown, la configuration, la gouvernance) et le volume de base de données (le journal d’audit scellé, la file de validation, les accès, l’historique des coûts). L’index de recherche n’en fait pas partie : il est dérivé, et se reconstruit intégralement avec kastel reindex. Une sauvegarde couvre donc tout ce qui ne se reconstruit pas.
Sauvegarder et restaurer
L’archive contient votre contexte complet, son historique attribué, et l’état opérationnel (journal d’audit scellé, validations, accès). Chaque fichier y est empreint, et --verify relit toute l’archive derrière l’écriture : empreintes, historique, continuité du journal scellé. Lisez la fin de la commande plutôt que son seul code de sortie : quand un des volets n’a pas pu être pris, la sauvegarde est déclarée partielle et le dit en clair. Une sauvegarde partielle se restaure quand même, mais sans ce qui manque.
La restauration s’adresse à un déploiement fraîchement initialisé et vide ; elle refuse d’écraser un déploiement vivant, et une archive corrompue est refusée sans rien écrire. Trois honnêtetés à connaître : les clés connectées ne voyagent pas dans la sauvegarde (elles se reconnectent après restauration) ; une sauvegarde ressuscite ce qui a été effacé depuis - la rotation de vos sauvegardes fait partie de votre conformité RGPD ; et restaurer la même archive dans deux instances vivantes crée deux histoires divergentes, pas une réplique.
Exporter, partir
L’export produit une archive portable de tout votre contexte, avec un manifeste : version, empreinte de chaque fichier, compteurs. C’est la sortie sans condition : pas de demande à formuler, pas de format propriétaire à décoder - votre contexte est déjà des fichiers markdown lisibles, écrits nativement au format ouvert OKF. La preuve anti-enfermement, ce n’est pas une promesse de réversibilité dans un contrat : c’est que la commande existe, chez vous, tout le temps.
Mettre à niveau
La mise à niveau n’est jamais automatique : votre déploiement est épinglé sur une version précise du moteur, et il y reste tant que vous ne tapez pas cette commande. Elle fait tout le geste d’un coup : tire la version publique courante, met à jour l’épingle, redémarre, applique les migrations de base et de structure, et réindexe. Si le nouveau moteur ne démarre pas sainement, l’épingle précédente est restaurée : vous ne restez pas entre deux versions. Relancer la commande quand tout est à jour ne fait rien.
Vérifier ce que vous faites tourner
Chaque image publiée du moteur est signée à la publication. La vérifier ne demande ni compte ni contact avec nous - la signature se vérifie contre le journal public de transparence :
Les deux options sont toute la vérification : copiez-les ensemble ou pas du tout. La réussite prouve que l’image sort bien de notre chaîne de publication, à l’identité près ; elle ne prouve pas l’absence de vulnérabilités. L’inventaire logiciel de l’image est attesté de la même façon, et la vérification fonctionne aussi hors ligne, sur une copie locale de l’image, pour un réseau coupé du monde.