0 Votes

Modifications pour le document Dashy

Modifié par john le 2026/09/26 16:54

Gérer
- Copier
Actions
- Exporter
- Aperçu avant impression
Affichage

From 4.1 to 3.1

Depuis la version 5.1

modifié par john
sur 2026/09/26 16:54

Commentaire de modification : Il n'y a aucun commentaire pour cette version

À la version 4.1

modifié par john
sur 2026/09/26 16:22

Commentaire de modification : Il n'y a aucun commentaire pour cette version

Source
Rendu

Résumé

Propriétés de la Page (1 modifications, 0 ajouts, 0 suppressions)

Détails

Propriétés de la Page

Contenu

@@ -1,13 +1,18 @@
--Tableau de bord d'accueil du serveur principal : liens vers les services auto-hébergés avec leur état, et widgets. Il compte quatre pages : l'accueil (##conf.yml##) et trois pages secondaires.
++Tableau de bord d'accueil : liens vers tous les services auto-hébergés, avec leur état en direct et des widgets, répartis sur une page d'accueil et trois pages secondaires.
--{{toc/}}
++== Fonctionnalités utilisées ==
--Les valeurs propres à l'infrastructure sont remplacées par des marqueurs ##<ENTRE_CHEVRONS>## : ##<DOMAINE>##, adresses IP, comptes, mots de passe et clés.
++* Sections et liens vers les services, avec icônes stockées en local ou issues des jeux d'icônes intégrés.
++* Indicateur d'état de chaque service (vérification de disponibilité).
++* Configuration multi-pages : une page d'accueil (##conf.yml##) et trois pages secondaires déclarées dans sa section ##pages:##.
++* Widgets de contenu dynamique, dont certains interrogent des services locaux ou des API externes avec des identifiants (AdGuard Home, Nextcloud, API de vols et d'actualités).
++* Cartes de statistiques GitHub fournies par une instance locale de github-readme-stats.
++* Accès protégé par Authelia au niveau de SWAG : aucune page ni aucun fichier de configuration n'est servi sans connexion.
++* Proxy CORS personnalisé dans SWAG, qui remplace celui de Dashy pour les widgets en ##useProxy: true##.
++* Configuration modifiable depuis l'interface, enregistrée dans les fichiers YAML.
--== Déploiement ==
++== Stack ==
--=== Stack Portainer ===
--
  {{code language="yaml"}}
  services:
    dashy:
@@ -37,19 +37,22 @@
      external: true
  {{/code}}
--* ##NODE_TLS_REJECT_UNAUTHORIZED=0## : Dashy accepte les certificats auto-signés des services locaux (vérifications d'état, proxy CORS).
--* ##user-data## contient toute la configuration. Dashy sert ce dossier à la racine du site.
--* Le port ##4000## donne un accès direct depuis le LAN, sans SWAG ni Authelia. SWAG n'en a pas besoin : il joint le conteneur par le réseau ##proxy##.
++* ##NODE_TLS_REJECT_UNAUTHORIZED=0## : le serveur de Dashy accepte les certificats non reconnus lors des vérifications d'état et dans son proxy CORS, nécessaire pour les services locaux en https avec un certificat auto-signé.
++* ##UID## / ##GID## : propriétaire des fichiers écrits dans ##user-data## (sauvegarde depuis l'interface).
++* Port ##4000## : accès direct depuis le LAN, sans SWAG ni Authelia. L'accès normal passe par SWAG, qui joint le conteneur par son nom sur le réseau ##proxy##, port interne ##8080##. Pour que tout accès passe par Authelia, supprimer cette publication de port : SWAG n'en a pas besoin.
++* Volume : tout le dossier ##user-data## est monté dans ##/app/user-data##. Dashy sert ce dossier à la racine du site : ##conf.yml##, les pages secondaires et ##item-icons/## sont accessibles par leur nom.
++* Réseau ##proxy## : réseau Docker externe partagé avec SWAG, à créer avant le premier déploiement (##docker network create proxy##).
++* Mises à jour de l'image : [[Watchtower>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Watchtower.WebHome]].
--=== SWAG ===
++=== Exposition derrière SWAG ===
--##<APPDATA>/swag/config/nginx/proxy-confs/30-dashy.subdomain.conf## :
++Fichier ##<APPDATA>/swag/config/nginx/proxy-confs/30-dashy.subdomain.conf##. Chaque ##location## inclut ##authelia-location.conf##, selon le même schéma que les autres services protégés. Voir aussi [[SWAG>>Wiki Batcave John.Infrastructure.ServeurPrincipal.SWAG.WebHome]].
  {{code language="nginx"}}
  server {
      listen 443 ssl;
      listen [::]:443 ssl;
--    server_name dash.<DOMAINE>;
++    server_name <DOMAINE_DASHY>;
      include /config/nginx/ssl.conf;
      include /config/nginx/snippets/robots-default.conf;
@@ -56,15 +56,14 @@
      client_max_body_size 25m;
--    # Authelia devant tout le domaine
++    # Authelia : tout le domaine exige une connexion
      include /config/nginx/authelia-server.conf;
--    # Upstream Dashy
      set $upstream_app  dashy;
      set $upstream_port 8080;
      set $upstream_proto http;
--    # (facultatif) proxy vers /pico/
++    # Interface web du Pico W, relayée sous /pico/
      location /pico/ {
          include /config/nginx/authelia-location.conf;
          proxy_pass http://<IP_PICO>/;
@@ -72,7 +72,7 @@
          proxy_set_header Connection close;
      }
--    # API de Dashy (sauvegarde de la config, vérifications d'état)
++    # API de Dashy (sauvegarde de la config, vérifications d'état...)
      location ^~ /api/ {
          include /config/nginx/authelia-location.conf;
          include /config/nginx/proxy.conf;
@@ -79,90 +79,83 @@
          include /config/nginx/resolver.conf;
          proxy_pass $upstream_proto://$upstream_app:$upstream_port;
      }
++
++    # Proxy CORS des widgets, traité par SWAG et non par Dashy
      location = /cors-proxy {
          include /config/nginx/authelia-location.conf;
--    # Dashy envoie la cible dans ce header
--    set $target $http_target_url;
--    if ($target = "") { return 400; }
++        set $target $http_target_url;
++        if ($target = "") { return 400; }
--    add_header Access-Control-Allow-Origin "*" always;
--    add_header Access-Control-Allow-Methods "GET, POST, OPTIONS" always;
--    add_header Access-Control-Allow-Headers "*" always;
--    if ($request_method = OPTIONS) { return 204; }
++        add_header Access-Control-Allow-Origin "*" always;
++        add_header Access-Control-Allow-Methods "GET, POST, OPTIONS" always;
++        add_header Access-Control-Allow-Headers "*" always;
++        if ($request_method = OPTIONS) { return 204; }
--    # TLS (certs auto-signés possibles sur les cibles LAN, ex: Nextcloud)
--    proxy_ssl_server_name on;
--    proxy_ssl_verify off;
++        proxy_ssl_server_name on;
++        proxy_ssl_verify off;
--    # Par défaut, on ne fait pas confiance à l'input
--    set $auth_header "";
--    set $accept_header "";
--    set $ocs_header "";
--    set $host_override "";
++        set $auth_header "";
++        set $accept_header "";
++        set $ocs_header "";
++        set $host_override "";
--    access_by_lua_block {
--      local target = ngx.var.target
++        access_by_lua_block {
++          local target = ngx.var.target
++          local host, port = target:match("^https?://([^/:]+):?(%d*)")
++          if not host then
++            ngx.status = 400
++            ngx.header["Content-Type"] = "application/json"
++            ngx.say('{"error":"Target-URL invalide"}')
++            return ngx.exit(400)
++          end
--      local host, port = target:match("^https?://([^/:]+):?(%d*)")
--      if not host then
--        ngx.status = 400
--        ngx.header["Content-Type"] = "application/json"
--        ngx.say('{"error":"Target-URL invalide"}')
--        return ngx.exit(400)
--      end
++          -- Cibles LAN autorisées (widgets Dashy internes)
++          local allowed_internal = { ["<IP_SERVEUR>"] = true, ["<IP_ADGUARD>"] = true, ["<IP_PICO>"] = true }
++          local function is_private_ip(h)
++            if h == "localhost" then return true end
++            local a, b = h:match("^(%d+)%.(%d+)%.%d+%.%d+$")
++            if not a then return false end
++            a, b = tonumber(a), tonumber(b)
++            if a == 127 or a == 10 or a == 0 then return true end
++            if a == 172 and b >= 16 and b <= 31 then return true end
++            if a == 192 and b == 168 then return true end
++            if a == 169 and b == 254 then return true end
++            return false
++          end
--      -- Cibles LAN explicitement autorisées (widgets Dashy internes)
--      local allowed_internal = { ["<IP_SERVEUR>"] = true, ["<IP_ADGUARD>"] = true, ["<IP_PICO>"] = true }
--      local function is_private_ip(h)
--        if h == "localhost" then return true end
--        local a, b = h:match("^(%d+)%.(%d+)%.%d+%.%d+$")
--        if not a then return false end -- pas une IPv4 littérale -> traité comme hôte public
--        a, b = tonumber(a), tonumber(b)
--        if a == 127 or a == 10 or a == 0 then return true end
--        if a == 172 and b >= 16 and b <= 31 then return true end -- 172.16.0.0/12 (docker inclus)
--        if a == 192 and b == 168 then return true end
--        if a == 169 and b == 254 then return true end -- link-local / metadata cloud
--        return false
--      end
++          -- Anti-SSRF : LAN, loopback et metadata bloqués sauf liste blanche
++          if is_private_ip(host) and not allowed_internal[host] then
++            ngx.status = 403
++            ngx.header["Content-Type"] = "application/json"
++            ngx.say('{"error":"Cible interne non autorisée"}')
++            return ngx.exit(403)
++          end
--      -- Anti-SSRF : on bloque tout le LAN/loopback/metadata, sauf les cibles explicitement whitelistées
--      if is_private_ip(host) and not allowed_internal[host] then
--        ngx.status = 403
--        ngx.header["Content-Type"] = "application/json"
--        ngx.say('{"error":"Cible interne non autorisée"}')
--        return ngx.exit(403)
--      end
++          ngx.var.host_override = (port ~= "" and port ~= nil) and (host .. ":" .. port) or host
--      ngx.var.host_override = (port ~= "" and port ~= nil) and (host .. ":" .. port) or host
--
--      -- Parse le JSON envoyé dans customheaders
--      local cjson = require "cjson.safe"
--      local hdrs = ngx.req.get_headers()
--      local ch = hdrs["customheaders"]
--      if ch then
--        local obj = cjson.decode(ch)
--        if obj then
--          if obj["Authorization"] then ngx.var.auth_header = obj["Authorization"] end
--          if obj["Accept"] then ngx.var.accept_header = obj["Accept"] end
--          if obj["OCS-APIREQUEST"] ~= nil then
--            ngx.var.ocs_header = tostring(obj["OCS-APIREQUEST"])
++          -- En-têtes envoyés par Dashy en JSON dans CustomHeaders
++          local cjson = require "cjson.safe"
++          local ch = ngx.req.get_headers()["customheaders"]
++          if ch then
++            local obj = cjson.decode(ch)
++            if obj then
++              if obj["Authorization"] then ngx.var.auth_header = obj["Authorization"] end
++              if obj["Accept"] then ngx.var.accept_header = obj["Accept"] end
++              if obj["OCS-APIREQUEST"] ~= nil then ngx.var.ocs_header = tostring(obj["OCS-APIREQUEST"]) end
++            end
            end
--        end
--      end
--    }
++        }
--    # Injecte les vrais headers vers la cible
--    proxy_set_header Authorization $auth_header;
--    proxy_set_header Accept $accept_header;
--    proxy_set_header OCS-APIREQUEST $ocs_header;
++        proxy_set_header Authorization $auth_header;
++        proxy_set_header Accept $accept_header;
++        proxy_set_header OCS-APIREQUEST $ocs_header;
++        proxy_set_header Host $host_override;
++        proxy_set_header X-Forwarded-Proto https;
--    proxy_set_header Host $host_override;
--    proxy_set_header X-Forwarded-Proto https;
++        proxy_pass $target;
++    }
--    proxy_pass $target;
--}
--
--    # Application (SPA Vue en history mode)
++    # Application (SPA Vue en mode history)
      location / {
          include /config/nginx/authelia-location.conf;
          include /config/nginx/proxy.conf;
@@ -169,13 +169,11 @@
          include /config/nginx/resolver.conf;
          proxy_pass $upstream_proto://$upstream_app:$upstream_port;
--        # --- Fallback SPA : si l’upstream renvoie 404 sur /login, /settings, etc.,
--        #     on renvoie l'index de l'app pour laisser Vue router côté client.
++        # Une 404 de l'upstream sur /login, /settings... renvoie l'index de l'app
          proxy_intercept_errors on;
          error_page 404 = @dashy_fallback;
      }
--    # Cible du fallback : renvoyer l'index de l'app en conservant les en-têtes
      location @dashy_fallback {
          proxy_set_header X-Original-URI $request_uri;
          proxy_pass $upstream_proto://$upstream_app:$upstream_port/;
@@ -183,41 +183,57 @@
  }
  {{/code}}
--* Authelia protège tout le domaine, y compris les fichiers YAML, qui contiennent les identifiants des widgets.
--* ##/cors-proxy## remplace le proxy CORS de Dashy pour les widgets en ##useProxy: true##. Il ne relaie que les en-têtes ##Authorization##, ##Accept## et ##OCS-APIREQUEST##, et refuse les IP privées absentes de ##allowed_internal## : tout nouveau widget qui vise une IP du LAN doit y être ajouté.
--* ##/pico/## relaie l'interface web du Pico W.
--* ##@dashy_fallback## renvoie l'application sur les routes internes de Vue (##/login##...), que le serveur de Dashy renvoie en 404.
++Fonctionnement du proxy CORS :
--=== Authelia ===
++* Un widget en ##useProxy: true## n'appelle pas l'API cible depuis le navigateur : il envoie la requête à ##/cors-proxy## sur le domaine de Dashy, avec l'adresse cible dans l'en-tête ##Target-URL## et ses propres en-têtes (authentification comprise) en JSON dans ##CustomHeaders##.
++* Derrière SWAG, c'est ce bloc ##location = /cors-proxy## qui répond, pas le proxy intégré de Dashy. Il ne transmet que ##Authorization##, ##Accept## et ##OCS-APIREQUEST## : un widget qui a besoin d'un autre en-tête doit être ajouté dans le bloc Lua.
++* Les adresses IP privées sont refusées (403), sauf celles de ##allowed_internal##. Tout nouveau widget qui vise une IP du LAN doit y être ajouté, puis SWAG rechargé. Un nom de domaine public passe sans liste blanche.
++* Les appels à ##/cors-proxy## partent de la page Dashy, sur le même domaine : le navigateur y joint le cookie de session Authelia, et ##/cors-proxy## n'est pas utilisable sans connexion.
++* Les requêtes ##OPTIONS## (pré-vol CORS) reçoivent leur 204 avant le contrôle Authelia, car les ##if## de nginx sont évalués avant ##auth_request##.
++* En accès direct sur le port ##4000##, c'est le proxy intégré de Dashy qui répond, sans liste blanche ni Authelia.
++* Nécessite le module Lua de nginx, présent dans l'image SWAG.
--Règle dans la section ##access_control## de la configuration d'Authelia :
++=== Accès ===
++L'accès se fait en deux étapes :
++
++1. **Authelia**, devant tout le domaine : sans session Authelia, SWAG redirige vers le portail Authelia. Cela couvre l'interface, ##conf.yml## et les pages secondaires, l'API de Dashy, ##/cors-proxy## et ##/pico/##.
++1. **Dashy**, une fois Authelia passé : son écran de connexion donne accès à l'éditeur de configuration au compte administrateur défini dans ##appConfig.auth.users## (##disableConfigurationForNonAdmin: true##). Voir [[Authentification>>||anchor="HAuthentification"]].
++
++Règle dans la configuration d'[[Authelia>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Authelia.WebHome]], section ##access_control## :
++
  {{code language="yaml"}}
  access_control:
    default_policy: deny
    rules:
--    - domain: "dash.<DOMAINE>"
++    - domain: "<DOMAINE_DASHY>"
        policy: one_factor
  {{/code}}
--Aucune règle ##bypass## pour ce domaine ne doit la précéder : Authelia applique la première règle qui correspond.
++* La règle ne sert que si SWAG interroge Authelia : sans les ##include## d'Authelia dans le fichier SWAG, elle n'est jamais évaluée, quelle que soit sa ##policy##. Il faut les deux.
++* Une règle ##bypass## pour ce domaine, placée avant, annulerait la protection : Authelia applique la première règle qui correspond.
++* ##enableGuestAccess: true## ne concerne que les personnes déjà passées par Authelia : elles voient les pages sans se connecter à Dashy, mais ne peuvent pas modifier la configuration.
++* Le fichier Authelia ouvre aussi le CORS de ##/.well-known/openid-configuration## et ##/jwks.json## au domaine de Dashy, en prévision d'une connexion OIDC. Celle-ci n'est pas activée dans ##conf.yml##.
--== Fichiers de configuration ==
++{{warning}}C'est Authelia qui protège les fichiers, pas Dashy : l'authentification de Dashy se fait dans le navigateur et masque seulement l'éditeur. ##conf.yml## et les pages secondaires contiennent les identifiants des widgets, les clés d'API, les adresses internes et le hash du mot de passe administrateur. Toute voie d'accès qui contourne Authelia (port ##4000##, autre proxy, règle ##bypass##) les rend lisibles. Vérifier après chaque modification de SWAG ou d'Authelia, en navigation privée : ##/conf.yml## doit renvoyer vers le portail Authelia.{{/warning}}
++== Configuration ==
++
  Dans ##<APPDATA>/Dashy/user-data## :
--|=Page Dashy|=Fichier|=Sous-page|=Widgets avec identifiants
--|Accueil|##conf.yml##|[[Accueil>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Dashy.Accueil.WebHome]]|##adguard-stats##, ##adguard-filter-status##, ##adguard-top-domains## (compte AdGuard Home) ; ##nextcloud-system## (mot de passe d'application Nextcloud)
--|bookmarks|##bookmark.yml##|[[Bookmarks>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Dashy.Bookmarks.WebHome]]|—
--|cpu|##cpu.yml##|[[CPU>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Dashy.CPU.WebHome]]|—
--|news|##news.yml##|[[News>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Dashy.News.WebHome]]|##flight-data## (clé RapidAPI) ; ##news-headlines## (clé Currents API)
++|=Élément|=Rôle
++|##conf.yml##|Page d'accueil et configuration commune : ##appConfig##, ##pageInfo##, ##pages##, sections
++|##bookmark.yml##|Page secondaire //bookmarks// : favoris web
++|##cpu.yml##|Page secondaire //cpu// : supervision Glances
++|##news.yml##|Page secondaire //news// : capteurs, flux, actualités, crypto
++|##item-icons/##|Icônes des services et image de fond, stockées en local
++|##conf.yml.bak##, ##bookmark.yml.bak##|Copies manuelles, non utilisées par Dashy
++|##config-backups/##|Dossier de sauvegardes de Dashy (vide actuellement)
--##item-icons/## contient les icônes locales et l'image de fond.
++=== Fonctionnement multi-pages ===
--=== Multi-pages ===
++La page d'accueil est toujours ##conf.yml##. Les autres pages sont déclarées dans sa section ##pages:## : chaque entrée donne le nom affiché dans la barre de navigation et le chemin du fichier, relatif à ##user-data## (une URL distante est aussi acceptée).
--La page d'accueil est ##conf.yml##. Elle déclare les pages secondaires dans ##pages:## : nom affiché dans la barre de navigation et chemin relatif à ##user-data##.
--
  {{code language="yaml"}}
  pages:
    - name: bookmarks
@@ -228,23 +228,153 @@
      path: news.yml
  {{/code}}
--Chaque page secondaire ne contient que ##pageInfo##, ##sections## et la même liste ##pages:##, pour garder la navigation. ##appConfig## n'est lu que dans ##conf.yml## et s'applique à toutes les pages.
++* Une page secondaire ne contient que ##pageInfo## et ##sections## : ##appConfig## (thème, authentification, recherche...) est lu uniquement dans ##conf.yml## et s'applique à toutes les pages.
++* Chaque page secondaire répète la même liste ##pages:##, pour garder la navigation identique d'une page à l'autre. Aucune ne déclare de fichier supplémentaire.
++* Dans ##pageInfo.navLinks## des pages secondaires, un lien ##Home## vers ##/## ramène à l'accueil.
++* Ajouter une page : créer le fichier dans ##user-data##, l'ajouter dans ##pages:## de ##conf.yml## et des autres pages, puis recharger.
--Fichiers présents mais non référencés : ##cpu2.yml## (ancienne copie de ##cpu.yml## à l'indentation cassée), ##conf.yml.bak## et ##bookmark.yml.bak##.
++=== Récapitulatif des pages ===
--=== Éléments communs ===
++|=Page Dashy|=Fichier|=Sous-page XWiki|=Widgets utilisant des identifiants
++|Accueil|##conf.yml##|[[Accueil>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Dashy.Accueil.WebHome]]|##adguard-stats##, ##adguard-filter-status##, ##adguard-top-domains## (compte AdGuard Home), ##nextcloud-system## (mot de passe d'application Nextcloud). Les widgets ##image## dépendent du jeton GitHub de github-readme-stats, stocké côté serveur.
++|bookmarks|##bookmark.yml##|[[Bookmarks>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Dashy.Bookmarks.WebHome]]|Aucun widget
++|cpu|##cpu.yml##|[[CPU>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Dashy.CPU.WebHome]]|Aucun (Glances sans authentification)
++|news|##news.yml##|[[News>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Dashy.News.WebHome]]|##flight-data## (clé RapidAPI), ##news-headlines## (clé Currents API)
--##appConfig## est dans ##conf.yml##, dont le fichier complet est sur la sous-page [[Accueil>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Dashy.Accueil.WebHome]].
++=== Fichiers non référencés ===
--* Thème ##dracula##, image de fond servie depuis ##item-icons/##.
--* ##statusCheck: false## au niveau global : la vérification d'état est activée item par item.
--* ##faviconApi: allesedv## pour les items en ##icon: favicon##. ##enableFontAwesome: true## pour les icônes ##fas##, ##fab## et ##fad##. Les icônes ##hl-...## viennent du jeu homelab intégré.
--* ##widgetsAlwaysUseProxy: false## : chaque widget choisit avec ##useProxy## s'il passe par ##/cors-proxy##. Le réglage se met sur le widget : au niveau de la section, il est ignoré.
--* Authentification : un compte ##admin## défini par son nom et le hash SHA-256 de son mot de passe (##echo -n '<MOT_DE_PASSE>' ~| sha256sum##). ##enableGuestAccess: true## : une fois passé Authelia, on voit les pages sans se connecter à Dashy. ##disableConfigurationForNonAdmin: true## : seul l'admin modifie la configuration.
++* ##cpu2.yml## : ancienne copie de ##cpu.yml## avec une indentation à un espace qui casse la structure YAML. Déclarée nulle part, mais servie comme les autres fichiers. À supprimer.
++* ##conf.yml.bak## et ##bookmark.yml.bak## : copies de sauvegarde, non déclarées.
--Vérifier la syntaxe après une modification à la main :
++=== Structure d'un fichier ===
++Un fichier de page contient trois blocs de premier niveau, plus ##appConfig## et ##pages## pour ##conf.yml## :
++
++{{code language="yaml"}}
++pageInfo:
++  title: <TITRE>
++  description: <SOUS_TITRE>
++  navLinks:
++    - title: <LIBELLE>
++      target: newtab
++      path: https://<SITE_PERSO>
++appConfig:
++  # conf.yml uniquement, voir ci-dessous
++pages:
++  # conf.yml, recopié dans chaque page secondaire
++sections:
++  - name: <NOM_SECTION>
++    icon: <ICONE>
++    displayData:
++      sortBy: default      # default | alphabetical | random
++      rows: 1
++      cols: 1
++      collapsed: false
++      hideForGuests: false
++    items:
++      - title: <NOM_SERVICE>
++        description: <DESCRIPTION>
++        icon: <ICONE>
++        url: https://<DOMAINE_SERVICE>/
++        target: newtab
++        statusCheck: true
++        statusCheckAllowInsecure: true
++        id: <ID>
++    widgets:
++      - type: <TYPE_WIDGET>
++        useProxy: true
++        options:
++          <OPTION>: <VALEUR>
++        id: <ID>
++{{/code}}
++
++* ##id## : identifiant unique généré par l'interface. Facultatif en écriture manuelle : Dashy en génère un s'il manque.
++* ##icon## : formes utilisées dans cette configuration :
++** nom de fichier présent dans ##item-icons/## (##portainer.svg##) ;
++** ##hl-<nom>## : jeu d'icônes homelab intégré (##hl-jellyfin##) ;
++** classes Font Awesome (##fas fa-terminal##, ##fab fa-github##, ##fad fa-clock##), actif via ##enableFontAwesome: true## ;
++** ##favicon## : favicon du site récupéré par le service défini dans ##faviconApi## ;
++** emoji (##🛡️##) ou URL complète d'une image.
++* ##useProxy## se place sur le widget, pas sur la section : placé au niveau de la section, il est ignoré.
++
++=== appConfig et thème ===
++
++{{code language="yaml"}}
++appConfig:
++  theme: dracula
++  layout: auto
++  iconSize: small
++  backgroundImg: /item-icons/<IMAGE_FOND>
++  startingView: default
++  defaultOpeningMethod: newtab
++  statusCheck: false
++  statusCheckInterval: 0
++  faviconApi: allesedv
++  enableFontAwesome: true
++  enableMaterialDesignIcons: false
++  widgetsAlwaysUseProxy: false
++  webSearch:
++    searchEngine: duckduckgo
++    openingMethod: newtab
++    searchBangs: {}
++    disableWebSearch: false
++  auth:
++    enableGuestAccess: true
++    users:
++      - user: <UTILISATEUR_DASHY>
++        hash: <HASH_SHA256_DU_MOT_DE_PASSE>
++        type: admin
++    enableHeaderAuth: false
++    headerAuth:
++      userHeader: REMOTE_USER
++      proxyWhitelist: []
++    enableKeycloak: false
++  hideComponents:
++    hideHeading: false
++    hideNav: false
++    hideSearch: false
++    hideSettings: false
++    hideFooter: false
++  showSplashScreen: false
++  preventWriteToDisk: false
++  preventLocalSave: false
++  disableConfiguration: false
++  disableConfigurationForNonAdmin: true
++  allowConfigEdit: true
++  enableServiceWorker: false
++  disableContextMenu: false
++  disableUpdateChecks: false
++  disableSmartSort: false
++  enableErrorReporting: false
++{{/code}}
++
++|=Clé|=Effet
++|##theme: dracula##|Thème sombre intégré, appliqué à toutes les pages
++|##backgroundImg##|Image de fond, servie depuis ##item-icons/##
++|##statusCheck: false##|Pas de vérification d'état globale : elle est activée item par item (##statusCheck: true##)
++|##faviconApi: allesedv##|Les icônes ##favicon## sont récupérées via le service externe allesedv
++|##widgetsAlwaysUseProxy: false##|Chaque widget choisit avec ##useProxy## s'il passe par ##/cors-proxy##
++|##webSearch##|Recherche web DuckDuckGo depuis la barre de recherche, en nouvel onglet
++|##preventWriteToDisk: false##|L'interface peut écrire dans les fichiers YAML du volume
++|##preventLocalSave: false##|Les modifications peuvent aussi être gardées dans le stockage local du navigateur
++|##disableConfigurationForNonAdmin: true##|Seul un compte ##type: admin## voit l'éditeur de configuration
++
++=== Authentification ===
++
++* Un seul compte, administrateur, défini par son nom et le hash SHA-256 de son mot de passe. Générer le hash :
++
  {{code language="bash"}}
++echo -n '<MOT_DE_PASSE_DASHY>' | sha256sum
++{{/code}}
++
++* ##enableGuestAccess: true## : les visiteurs authentifiés par Authelia mais pas par Dashy voient toutes les pages. ##hideForGuests: true## sur une section la masque aux invités, sans la retirer des fichiers servis.
++* ##enableHeaderAuth## (utilisateur transmis par le reverse proxy dans ##REMOTE_USER##) et ##enableKeycloak## sont désactivés.
++
++=== Vérifier la syntaxe ===
++
++Après une modification à la main :
++
++{{code language="bash"}}
  docker exec dashy yarn validate-config
  {{/code}}
@@ -272,11 +272,11 @@
  Principales adresses :
  |=Carte|=Adresse
--|Statistiques du profil|##/api?username=<UTILISATEUR>##
--|Langages les plus utilisés|##/api/top-langs?username=<UTILISATEUR>##
--|Dépôt épinglé|##/api/pin?username=<UTILISATEUR>&repo=<DEPOT>##
++|Statistiques du profil|##/api?username=<UTILISATEUR_GITHUB>##
++|Langages les plus utilisés|##/api/top-langs?username=<UTILISATEUR_GITHUB>##
++|Dépôt épinglé|##/api/pin?username=<UTILISATEUR_GITHUB>&repo=<DEPOT>##
--Dans Dashy, les cartes s'affichent avec un widget de type ##image## qui pointe vers l'instance locale.
++Dans Dashy, les cartes s'affichent avec un widget de type ##image## qui pointe vers l'instance locale (voir la sous-page [[Accueil>>Wiki Batcave John.Infrastructure.ServeurPrincipal.Dashy.Accueil.WebHome]]).
  === Image locale ===
@@ -291,34 +291,49 @@
  == Maintenance ==
--=== Après une migration ou une réinstallation ===
++=== Après une migration ou une réinstallation d'un service ===
--|=Service|=À refaire
--|Nextcloud|Créer un nouveau mot de passe d'application et le reporter dans ##nextcloud-system## : les mots de passe d'application ne suivent pas une migration.
--|AdGuard Home|Reporter le compte de l'interface web dans les trois widgets ##adguard-*##. Si l'IP change : ##hostname## et ##allowed_internal## de SWAG.
--|Pico W|Si l'IP change : ##news.yml## (item et script), ##location /pico/## et ##allowed_internal## de SWAG.
--|SWAG, Authelia|Remettre ##30-dashy.subdomain.conf## complet et la règle ##one_factor##, puis vérifier en navigation privée que ##/conf.yml## redirige vers Authelia.
--|Dashy|Restaurer ##user-data##.
++|=Service migré ou réinstallé|=À refaire dans Dashy
++|Nextcloud|Créer un nouveau mot de passe d'application et le reporter dans ##nextcloud-system## : les mots de passe d'application ne suivent pas une migration (sauvegarde restaurée, passage à AIO, nouvelle instance). Vérifier que le compte est toujours administrateur et que le nom d'utilisateur a gardé la même casse.
++|AdGuard Home|Reporter le nom d'utilisateur et le mot de passe de l'interface web dans les trois widgets ##adguard-*##. Si l'adresse IP change : mettre à jour ##hostname## et la liste ##allowed_internal## de SWAG.
++|Glances|Mettre à jour ##hostname## dans tous les widgets ##gl-*## de ##cpu.yml## si le domaine change.
++|github-readme-stats|Reconstruire l'image locale et recréer le jeton ##PAT_1## s'il a expiré.
++|Pico W|Mettre à jour son IP dans ##news.yml## (item et script du widget ##embed##), dans ##location /pico/## et dans ##allowed_internal## de SWAG.
++|SWAG|Recopier ##30-dashy.subdomain.conf## complet. Sans les ##include## d'Authelia, Dashy et ses fichiers de configuration redeviennent publics. Sans le bloc ##/cors-proxy##, les widgets en ##useProxy: true## passent par le proxy de Dashy, sans liste blanche.
++|Authelia|Vérifier que la règle ##one_factor## du domaine de Dashy est toujours présente et qu'aucune règle ##bypass## ne la précède.
++|Dashy|Restaurer ##user-data## (fichiers YAML et ##item-icons/##). Aucun identifiant n'est stocké ailleurs.
++|API externes (RapidAPI, Currents)|Si la clé est régénérée ou le compte recréé, reporter la nouvelle clé dans ##news.yml##.
  === Recharger la configuration ===
--* Dashy relit les fichiers YAML à chaque chargement : après une modification à la main, rafraîchir la page. Si l'ancienne version reste affichée, elle vient du stockage local du navigateur : réinitialiser les paramètres locaux depuis le menu de configuration.
--* SWAG : ##docker exec swag nginx -t## puis ##docker exec swag nginx -s reload##. Authelia : ##docker restart authelia##.
++* Modification depuis l'interface : l'enregistrement sur le disque, depuis l'éditeur de configuration, écrit le fichier YAML de la page affichée.
++* Modification à la main : Dashy relit les fichiers YAML à chaque chargement, un rafraîchissement du navigateur suffit. Si l'ancienne configuration reste affichée, elle vient du stockage local du navigateur : réinitialiser les paramètres locaux depuis le menu de configuration, ou vider les données du site.
++* Changement dans la stack (variables d'environnement, image) : redéployer la stack dans Portainer.
++* Changement dans le fichier SWAG : ##docker exec swag nginx -t## puis ##docker exec swag nginx -s reload##.
++* Changement dans la configuration d'Authelia : ##docker restart authelia##.
  === Un widget reste vide ===
--Dans les outils de développement du navigateur (F12, onglet Réseau), regarder la requête du widget :
++Dans l'ordre :
--|=Symptôme|=Cause
--|Erreur CORS sur un appel direct|Passer le widget en ##useProxy: true##
--|##/cors-proxy## : 302 ou 401|Session Authelia expirée : recharger la page
--|##/cors-proxy## : 403 ##Cible interne non autorisée##|IP absente de ##allowed_internal##
--|##/cors-proxy## : 401 ou 403 de la cible|Identifiants faux ou révoqués, compte sans droits, ou en-tête non relayé par le bloc Lua
--|##/cors-proxy## : 502 ou 504|Service cible arrêté ou injoignable depuis SWAG
++1. Outils de développement du navigateur (F12), onglets Console et Réseau : repérer la requête du widget et son code de retour.
++1. Requête vers ##/cors-proxy## :
++1*. 302 vers le portail Authelia, ou 401 : session Authelia expirée ; recharger la page et se reconnecter ;
++1*. 400 ##Target-URL invalide## : ##hostname## mal formé (schéma ##http:~/~/## ou ##https:~/~/## obligatoire) ;
++1*. 403 ##Cible interne non autorisée## : IP du LAN absente de ##allowed_internal## dans SWAG ;
++1*. 401 ou 403 renvoyé par la cible : identifiants faux, mot de passe d'application révoqué, compte sans droits suffisants, ou en-tête d'authentification non transmis par le bloc Lua ;
++1*. 502 ou 504 : service cible arrêté ou injoignable depuis le conteneur SWAG.
++1. Requête directe (sans ##/cors-proxy##) bloquée avec une erreur CORS dans la console : passer le widget en ##useProxy: true##.
++1. Journaux : ##docker logs swag## et ##<APPDATA>/swag/config/log/nginx/error.log## pour le proxy, ##docker logs dashy## pour le serveur de Dashy.
++1. Vérifier la syntaxe du fichier avec ##yarn validate-config## : une erreur d'indentation peut vider toute une section.
++1. Tester l'API cible à la main depuis l'hôte, avec les mêmes identifiants. Exemple pour Nextcloud :
--Journaux : ##docker logs dashy## et ##<APPDATA>/swag/config/log/nginx/error.log##.
++{{code language="bash"}}
++curl -u '<UTILISATEUR_NEXTCLOUD>:<MOT_DE_PASSE_APPLICATION>' -H 'OCS-APIREQUEST: true' \
++  'https://<DOMAINE_NEXTCLOUD>/ocs/v2.php/apps/serverinfo/api/v1/info?format=json'
++{{/code}}
  == Sauvegarde ==
--##<APPDATA>/Dashy/user-data## est sauvegardé par le script de [[Sauvegarde>>Wiki Batcave John.Infrastructure.Sauvegarde.WebHome]], identifiants des widgets compris. Le fichier SWAG est aussi dans ##<APPDATA>##.
++##<APPDATA>/Dashy/user-data## est sauvegardé par le script de [[Sauvegarde>>Wiki Batcave John.Infrastructure.Sauvegarde.WebHome]]. Il contient toute la configuration, identifiants des widgets compris : la sauvegarde doit être protégée en conséquence. Le fichier SWAG ##30-dashy.subdomain.conf## est aussi dans ##<APPDATA>##, couvert par la même sauvegarde.

Modifications pour le document Dashy

Résumé

Détails

Applications

Navigation

FluxRSS

Besoin d'aide ?