Déploiement : plus aucune valeur d'exemple à corriger à la main

L'unité web portait ORIGIN=https://veille.example.org : un fichier versionné
qu'il fallait éditer à chaque déploiement, et dont l'oubli casse silencieusement
les soumissions de formulaire. Remplacé par PROTOCOL_HEADER / HOST_HEADER :
l'application déduit son origine des en-têtes du reverse proxy et fonctionne
donc sur n'importe quel domaine, sans édition.

Vérifié en exécutant réellement le binaire construit : deux domaines
différents servis par le même processus, HTTP 200 dans les deux cas, et un
ORIGIN figé l'emporte bien sur les en-têtes.

Au passage, une affirmation fausse que j'avais écrite en commentaire : « le
.env l'emporte sur les variables systemd ». C'est l'inverse — le --env-file de
Node ne remplace pas une variable déjà présente dans l'environnement (constaté
sur Node 24). Le commentaire dit désormais pourquoi ORIGIN dans .env fonctionne
quand même : parce que l'unité ne le déclare pas. Et un contrôle mécanique
interdit désormais de le redéclarer.

ExecStart passe par /usr/bin/env : NodeSource installe node dans /usr/bin, une
compilation manuelle dans /usr/local/bin, un chemin figé échouait sur l'un des
deux.

Deux contrôles ajoutés à make verifier : aucune valeur d'exemple active dans
les unités systemd, et ORIGIN laissé au .env.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

systemd/veille-web.service

@@ -17,16 +17,46 @@ Type=simple
 User=veille
 Group=veille
 WorkingDirectory=/opt/veille-legislative/web
-ExecStart=/usr/bin/node --env-file=/opt/veille-legislative/.env build
+# `env` plutôt qu'un chemin figé : NodeSource installe dans /usr/bin, une
+# compilation manuelle dans /usr/local/bin, et les deux sont dans le PATH par
+# défaut de systemd. Un chemin en dur échouerait sur la moitié des machines.
+ExecStart=/usr/bin/env node --env-file=/opt/veille-legislative/.env build
 
 Environment=NODE_ENV=production
 Environment=VEILLE_DB=/opt/veille-legislative/data/veille.db
 # Mise en sommeil après cinq minutes sans requête.
 Environment=IDLE_TIMEOUT=300
-# Obligatoire derrière un reverse proxy, sinon les soumissions de formulaire
-# sont refusées (« Cross-site POST form submissions are forbidden »).
-# Alternative : PROTOCOL_HEADER=x-forwarded-proto + HOST_HEADER=x-forwarded-host
-Environment=ORIGIN=https://veille.example.org
+
+# ── Origine des requêtes, derrière un reverse proxy ──────────────────────────
+#
+# Sans indication d'origine, adapter-node refuse les soumissions de formulaire
+# (« Cross-site POST form submissions are forbidden »).
+#
+# Deux façons de la lui donner. On retient ici celle qui ne dépend pas du
+# domaine : l'application déduit l'origine des en-têtes que pose le reverse
+# proxy. Cette unité fonctionne donc telle quelle, quel que soit le domaine —
+# aucun fichier versionné n'est à éditer au déploiement.
+#
+# Ces en-têtes ne sont dignes de confiance que parce que l'application n'écoute
+# que sur 127.0.0.1 (voir veille-web.socket) : seul le proxy local peut les
+# poser. Exposer directement le port rendrait l'origine falsifiable par le
+# client — ne le faites pas.
+#
+# Le reverse proxy DOIT poser ces trois en-têtes ; les exemples nginx et Caddy
+# du README le font.
+Environment=PROTOCOL_HEADER=x-forwarded-proto
+Environment=HOST_HEADER=x-forwarded-host
+Environment=ADDRESS_HEADER=x-forwarded-for
+Environment=XFF_DEPTH=1
+
+# Alternative : figer l'origine au lieu de la déduire. Renseignez
+# ORIGIN=https://votre-domaine dans /opt/veille-legislative/.env ; adapter-node
+# la retient d'office, sa résolution s'écrivant `origin || get_origin(headers)`.
+#
+# Cela ne fonctionne QUE parce que ORIGIN n'est pas déclarée ci-dessus : le
+# `--env-file` de Node ne remplace pas une variable déjà présente dans
+# l'environnement, c'est l'environnement qui gagne (vérifié sur Node 24). Ne
+# déclarez donc jamais ORIGIN ici, sinon le fichier .env resterait sans effet.
 
 Restart=on-failure
 RestartSec=5