Déploiement gouvernemental

Vue d'ensemble

Un déploiement gouvernemental, pour une administration, une collectivité, un opérateur de l'État ou un incubateur beta.gouv, se distingue d'un déploiement standard sur cinq points :

1. Thème DSFR : le Système de Design de l'État peut être activé sur un espace, sous deux conditions cumulatives (licence Gov + domaine .gouv.fr).
2. Licence Gov : le DSFR et les features EE sont débloqués par une clé de licence GOV_LICENSED, émise manuellement après qualification.
3. Authentification : ProConnect (fédération d'identité de l'État) et Espace Membre (beta.gouv) en plus du mot de passe et du magic link.
4. Pages légales : mentions légales, politique de confidentialité, CGU et déclaration d'accessibilité à renseigner avec les informations de l'opérateur public.
5. Conformité : RGAA, RGPD/CNIL, résidence des données en France ou dans l'UE.

Les variables ci-dessous (branding, pages légales, tracking, URL du site) sont lues au runtime : aucune n'est inlinée au build, donc l'image GHCR prébuildée sert n'importe quel domaine et n'importe quel branding sans rebuild. Vous les posez en variables d'environnement runtime sur votre instance ; les valeurs publiques sont exposées au navigateur via une config runtime injectée par le serveur.

Licence Gov

Roadmaps Faciles est triple-licencié (AGPL v3 / BSL 1.1 / Gov). Les features EE et le thème DSFR sont activés au runtime par une clé de licence.

Plans disponibles :

Thème DSFR : deux verrous orthogonaux

Le thème par défaut de l'application reste Default (design maison). Le thème DSFR doit être activé explicitement par espace, et il exige deux conditions indépendantes, toutes deux nécessaires :

1. Verrou organisation (licence) : l'organisation doit avoir l'entitlement THEME_DSFR.
   • En self-host : une LICENSE_KEY de plan GOV_LICENSED valide.
   • En cloud : un plan d'organisation GOV.
2. Verrou tenant (domaine) : le domaine personnalisé de l'espace doit se terminer par .gouv.fr. C'est une exigence de la charte DSFR : le DSFR est réservé aux sites de l'État servis sur un domaine .gouv.fr.

Les deux verrous sont contrôlés à la fois côté interface (la sélection du thème DSFR dans Administration > Général est désactivée tant que l'une des conditions manque, avec un message indiquant lequel) et côté serveur (la sauvegarde rejette le thème DSFR si le domaine personnalisé n'est pas en .gouv.fr).

Activer le DSFR sur un espace :

1. Posez une LICENSE_KEY de plan GOV_LICENSED.
2. Configurez le domaine personnalisé de l'espace en .gouv.fr (ex : feedback.monministere.gouv.fr) depuis Administration > Général.
3. Sélectionnez le thème DSFR dans la section thème de la même page.

Authentification

Sans configuration OAuth, la baseline fonctionne immédiatement : mot de passe + magic link (les deux nécessitent un SMTP fonctionnel, voir Mailer).

ProConnect

ProConnect est la fédération d'identité de l'État pour les agents publics. Le provider OIDC est activé uniquement si les trois variables sont posées.

Espace Membre (beta.gouv)

Pour les incubateurs beta.gouv, l'intégration Espace Membre connecte les membres beta.gouv via leur compte. Les emails en @beta.gouv.fr et @ext.beta.gouv.fr sont vérifiés contre l'API Espace Membre au login : un membre inactif est bloqué, un membre actif sans compte local voit son compte créé automatiquement.

OAuth optionnels

GitHub et Google restent disponibles si besoin (par exemple pour des contributeurs externes) :

Chaque fournisseur OAuth doit aussi être activé explicitement par espace (ou sur le domaine racine) via Administration > Authentification pour être proposé sur la page de connexion.

Bootstrap d'une instance fraîche

L'image officielle est un bundle Next.js standalone : ni tsx ni pnpm n'y sont présents, donc prisma db seed n'y fonctionne pas. Le bootstrap d'une instance vierge se fait via la route HTTP POST /api/setup.

• La route est désactivée par défaut : sans SETUP_TOKEN, elle renvoie 403.
• Posez SETUP_TOKEN (valeur secrète forte, ex : openssl rand -base64 32) pour l'activer.
• Chaque appel doit fournir le header x-setup-token: <SETUP_TOKEN> (sinon 401, comparaison à temps constant).
• La route est idempotente : 409 si la base contient déjà un espace, sans rien créer.
• Le corps JSON est optionnel : tout champ absent retombe sur la variable SEED_* correspondante.

Champs du corps JSON :

curl -X POST https://instance.example/api/setup \
  -H "x-setup-token: $SETUP_TOKEN" \
  -H "content-type: application/json" \
  -d '{"adminEmail":"admin@monministere.gouv.fr","adminPassword":"un-mot-de-passe-fort"}'

En cas de succès (201), la route crée une organisation, un espace, un administrateur OWNER et les entités de bienvenue (un board + ses statuts), puis renvoie { ok, adminEmail, tenantId, loginUrl }.

Mailer

Le SMTP sert aux magic links, invitations et notifications.

L'adresse from est résolue dans cet ordre : MAILER_FROM_EMAIL s'il est défini, sinon le login SMTP (MAILER_SMTP_LOGIN), sinon noreply@<domaine de l'instance> (dérivé de SITE_URL).

Branding État

Le bloc-marque de l'État (République Française et son ministère de rattachement) et le logo opérateur sont les leviers principaux en contexte gouvernemental.

Pages légales

Les valeurs par défaut pointent vers Roadmaps Faciles et son hébergeur (Scalingo). Un opérateur gouvernemental doit toutes les remplacer : elles alimentent les pages /mentions-legales, /politique-de-confidentialite et /cgu.

Stockage et résidence des données

Roadmaps Faciles utilise un stockage S3-compatible pour les fichiers uploadés. Pour la résidence des données en France, deux options principales :

• Garage (recommandé en self-host) : stockage S3-compatible léger, hébergé sur votre propre infrastructure. Défaut du scénario docker-compose.
• Scaleway Object Storage : stockage S3 managé avec régions en France (fr-par), pour garantir la résidence des données sur le territoire national.

Pour le détail du provisioning Garage (secret RPC, access keys, bucket auto-créé au premier boot), voir le scénario docker-compose.

Checklist conformité

Le secteur public impose des obligations réglementaires à traiter avant la mise en production :

• Accessibilité (RGAA) : la page /accessibilite est livrée comme placeholder déclarant l'état "non conforme". Réalisez un audit RGAA et complétez la déclaration d'accessibilité conforme avant la mise en service.
• RGPD / CNIL : renseignez toutes les variables LEGAL_*, désignez un DPO joignable via LEGAL_RGPD_EMAIL, et tenez à jour la politique de confidentialité (/politique-de-confidentialite).
• Résidence des données : hébergez la base PostgreSQL et le stockage S3 en France ou dans l'UE (Garage auto-hébergé, ou Scaleway région fr-par).
• Tracking CNIL-compatible : si vous activez l'analytique, choisissez une solution conforme (Matomo auto-hébergé sans cookie), ou désactivez le tracking avec TRACKING_PROVIDER=noop. Évitez les solutions transférant des données hors UE sans encadrement.
• Pages légales : mentions légales (/mentions-legales), CGU (/cgu) et politique de confidentialité (/politique-de-confidentialite) renseignées avec les informations réelles de l'opérateur.
• Secrets uniques par instance : SECURITY_JWT_SECRET, SECURITY_WEBHOOK_SECRET, INTEGRATION_ENCRYPTION_KEY, SETUP_TOKEN générés et propres à votre instance, jamais réutilisés d'un exemple.
• SMTP de production : MAILER_FROM_EMAIL sur le domaine gouvernemental, aligné SPF/DKIM/DMARC.