"pull-only... qui ne font jamais git pull" melangeait deux sens de
"pull" (role consommateur vs commande git litterale) et se lisait
comme contradictoire. Regle simple a la place : Hermes pull toujours
permis (necessaire a l'entretien du serveur PXE), push jamais, sans
exception -- signaler un changement a pousser plutot que le pousser.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Fichier distinct du README humain -- couvre installation, entretien
et depannage du serveur PXE pour un agent charge de l'operer
(dnsmasq/caddy/pxe-publish), avec les incidents deja rencontres
cette session (service absent avant rebuild du serveur, clone perdu,
IP statique pas appliquee au premier switch, git pull sans nouveau
commit) et les regles de securite specifiques a un agent autonome
(jamais de push sans instruction, verifier hostname/pwd avant toute
commande distante, confirmer avant une action a impact sur le parc
en prod).
Note en passant : le README ne liste que 3 des 4 valeurs a adapter
dans pxe-server/configuration.nix (internetInterface manquait) --
corrige dans AGENTS.md, pas encore dans le README.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
DamienandClaude Sonnet 5