feat(deploy): webhook auto-deploy Forgejo → VPS Paris (TD-04)

docs/TECH_DEBT-backend.md

@@ -44,13 +44,22 @@
 
 ## 2. Décisions pragmatiques — à revisiter
 
-### TD-04 — Déploiement manuel (frontend + backend)
+### TD-04 — Déploiement manuel (backend)
 
 **Priorité :** 🟢 Mineur
-**Statut :** Ouvert — accepté jusqu'aux premiers revenus
-**Description :** Cloudflare Pages et Render ne supportent pas l'auto-deploy depuis Codeberg. Le déploiement est manuel (CLI + dashboard).
-**À faire :** Migrer vers VPS Hetzner + Coolify pour restaurer l'auto-deploy. Voir ARCHITECTURE.md §9 Phase 2.
-**Condition de résolution :** Quand Expria génère ses premiers revenus réguliers.
+**Statut :** Résolu — Auto-deploy webhook Forgejo → VPS Paris (2026-07-01)
+**Description :** Le déploiement backend était manuel (git pull + build + restart à la main sur le VPS). Résolu par un **webhook auto-deploy custom** : un push sur `main` du dépôt Forgejo (`git.expria.app`) déclenche un webhook vers `deploy.expria.app`, reçu par un listener **Node stdlib** (`deploy/webhook-listener.mjs`) qui vérifie la signature HMAC-SHA256 + l'IP source, puis exécute `deploy/deploy.sh` (fast-forward → `npm ci` → `npm run build` → `systemctl restart expria-backend`, avec rollback automatique sur échec). Le listener tourne sous l'utilisateur non-root `deploy` via `expria-deploy.service`. Solution retenue plutôt que la cible historique « VPS Hetzner + Coolify » (jamais implémentée) : le backend est déjà sur VPS Paris (HostVDS) avec systemd + Caddy, un webhook léger suffit.
+**Note frontend :** le déploiement frontend (Cloudflare Pages CLI) reste manuel — hors périmètre de cette résolution.
+
+---
+
+### TD-26 — `expria-backend.service` tourne en root
+
+**Priorité :** 🟢 Mineur
+**Statut :** Ouvert — introduit/constaté au Sprint auto-deploy (2026-07-01)
+**Description :** L'unité systemd `expria-backend.service` sur le VPS Paris définit `User=root`. Le process API (Hono, WebSocket) s'exécute donc avec les pleins privilèges, ce qui n'est pas nécessaire et augmente la surface d'impact en cas de compromission du runtime.
+**À faire :** Migrer le service vers un utilisateur dédié non-root (ex. `expria`), ajuster les permissions du checkout `/opt/expria/expria-backend`, du port (< 1024 non requis, le service écoute sur 4000) et du `EnvironmentFile`. Le listener auto-deploy tourne déjà sous `deploy` (non-root) — le backend applicatif doit suivre.
+**Hors scope :** ce durcissement est indépendant de la mise en place du webhook et sera planifié ultérieurement.
 
 ---
 
@@ -323,14 +332,15 @@ live** apparaîtra (ex. T3 Live).
 
 ## 5. Historique des résolutions
 
-| ID    | Description                                 | Résolu le  | Comment                     |
-| ----- | ------------------------------------------- | ---------- | --------------------------- |
-| TD-02 | planController.ts complété                  | 2026-04-16 | Session Stripe              |
-| TD-03 | stripe.ts complété                          | 2026-04-16 | Session Stripe              |
-| TD-14 | Erreurs TS2835 + TS18046 + TS7053 corrigées | 2026-04-17 | Session build Render        |
-| TD-10 | Analyse des patterns (Premium) livrée       | 2026-04-25 | Sprint 3.6c                 |
-| TD-11 | Indice de préparation livré                 | 2026-04-25 | Sprint 3.6c                 |
-| TD-16 | Bucket Storage abandonné                    | 2026-04-25 | Sprint 4b — Deepgram direct |
-| TD-17 | Limite audio in-memory caduque              | 2026-04-25 | Sprint 4b                   |
-| TD-18 | RLS Storage caduque                         | 2026-04-25 | Sprint 4b                   |
-| TD-13 | Webhook Stripe idempotent                   | 2026-04-26 | Sprint 5a                   |
+| ID    | Description                                 | Résolu le  | Comment                       |
+| ----- | ------------------------------------------- | ---------- | ----------------------------- |
+| TD-02 | planController.ts complété                  | 2026-04-16 | Session Stripe                |
+| TD-03 | stripe.ts complété                          | 2026-04-16 | Session Stripe                |
+| TD-14 | Erreurs TS2835 + TS18046 + TS7053 corrigées | 2026-04-17 | Session build Render          |
+| TD-10 | Analyse des patterns (Premium) livrée       | 2026-04-25 | Sprint 3.6c                   |
+| TD-11 | Indice de préparation livré                 | 2026-04-25 | Sprint 3.6c                   |
+| TD-16 | Bucket Storage abandonné                    | 2026-04-25 | Sprint 4b — Deepgram direct   |
+| TD-17 | Limite audio in-memory caduque              | 2026-04-25 | Sprint 4b                     |
+| TD-18 | RLS Storage caduque                         | 2026-04-25 | Sprint 4b                     |
+| TD-13 | Webhook Stripe idempotent                   | 2026-04-26 | Sprint 5a                     |
+| TD-04 | Auto-deploy webhook Forgejo → VPS Paris     | 2026-07-01 | Node stdlib + systemd + Caddy |