Référence de configuration

Cette page s’adresse aux administrateurs. Elle recense tous les réglages que lit Libris : les variables d’environnement du fichier .env, et les réglages qu’un administrateur peut modifier à chaud depuis Paramètres dans l’interface web. Pour chacun, vous trouverez sa valeur par défaut, son effet et les cas où il convient de le modifier.

Si vous installez Libris pour la première fois, vous n’avez encore besoin de rien de tout cela : scripts/setup.py (lancé par l’installateur) écrit un .env fonctionnel. Commencez par le guide Docker et revenez ici lorsque vous voudrez ouvrir Libris à votre réseau, ajuster des limites ou changer une valeur par défaut.

Fonctionnement de la configuration

• .env est le seul fichier que vous modifiez. Il se trouve à côté de docker-compose.yml, est créé par python3 scripts/setup.py à partir de .env.example, et est lu par les conteneurs api, worker et migrate. Gardez-le privé (mode 0600) et ne le versionnez jamais.

• Les noms ne tiennent pas compte de la casse, mais cette page emploie la forme en majuscules de .env.example. Une variable absente de .env prend la valeur par défaut indiquée ici.

• Appliquez une modification en recréant les conteneurs :

  docker compose up -d --no-build --wait
  

  Chaque conteneur ne lit l’environnement qu’à son démarrage. Lancez la même commande avec --profile codex si vous utilisez le pont Codex.

• Une valeur invalide empêche l’application de démarrer. Chaque réglage numérique a une plage autorisée (indiquée ci-dessous). Une valeur hors plage, une SECRET_KEY de moins de 32 caractères, ou un METRICS_TOKEN / API_WEBHOOK_SECRET défini mais trop court empêche l’API et le worker de démarrer ; docker compose logs api nomme le réglage en cause.

• Certains réglages peuvent être remplacés dans l’interface. Le pilote automatique, les budgets, les webhooks, la reprise automatique, la file équitable, l’envoi de courriels SMTP, la mémoire OpenViking et son nettoyage, ainsi que la recherche SearXNG ont une page sous Paramètres. Là, une valeur enregistrée l’emporte sur l’environnement. Voir Réglages modifiés dans l’interface.

Installation et réseau

Ces variables sont lues par Docker Compose et par le serveur web plutôt que par le code de l’application.

Compose définit aussi DATABASE_URL, DATA_DIR=/data et TMPDIR=/data/tmp pour les conteneurs de l’application ; ne les mettez pas dans .env pour une installation Docker.

Sécurité et accès

L’authentification unique n’a pas non plus de variable d’environnement : un administrateur indique l’émetteur, l’identifiant client et le secret dans Paramètres › Authentification unique, et Libris découvre le reste à partir de {issuer}/.well-known/openid-configuration. Le secret est chiffré avec SECRET_KEY comme tous les autres secrets ; l’adresse à déclarer auprès du fournisseur d’identité est affichée sur le même écran et construite à partir de la première entrée de ALLOWED_ORIGINS. Un compte ouvert par un fournisseur d’identité n’a ni mot de passe Libris ni seconde étape Libris : l’un et l’autre relèvent du fournisseur.

LDAP / Active Directory n’a pas non plus de variable d’environnement : un administrateur le configure dans Paramètres › Authentification unique, carte Annuaire LDAP / Active Directory, et l’écran de connexion propose alors de choisir entre l’annuaire et un compte Libris local. La mise en place pas à pas pour OpenLDAP et Active Directory est décrite dans ldap.fr.md. Les réglages sont :

Un compte d’annuaire n’a pas de mot de passe Libris (changement de mot de passe, Mot de passe oublié, réinitialisation et renommage local sont refusés), mais garde la seconde étape de Libris : un annuaire ne vérifie qu’un mot de passe, donc codes et clés de sécurité sont proposés et exigés comme pour un compte local, et une preuve récente (#102) se donne avec le mot de passe d’annuaire. Les referrals ne sont jamais suivis, et les échecs de connexion par l’annuaire comptent dans la même limite que les connexions locales pour le même nom.

Il n’existe aucun réglage pour la seconde étape de la connexion : chaque compte l’active pour lui-même dans Mon compte › Double authentification : un code à six chiffres fourni par une application d’authentification, une clé de sécurité (WebAuthn), ou les deux, plus dix codes de récupération à usage unique. Une clé exige un contexte sécurisé — HTTPS, ou localhost — : une installation jointe en HTTP simple sur un réseau local ne propose donc que l’application d’authentification. Un administrateur peut la retirer d’un compte qui a perdu son téléphone — Paramètres › Utilisateurs —, ce qui est inscrit au journal d’audit ; personne ne peut l’activer à la place de quelqu’un d’autre. L’API d’automatisation n’est pas concernée : un jeton est un secret à part entière.

Les modifications sensibles d’un compte exigent une preuve datant de moins de cinq minutes, liée à la session de navigateur en cours. Ce délai n’est volontairement pas configurable et ne prolonge pas SESSION_DURATION_HOURS. Une connexion locale complète compte immédiatement ; WebAuthn doit réellement vérifier l’utilisateur (code PIN ou biométrie), et non se contenter d’un simple contact. Les sessions existantes restent utilisables après une mise à jour, mais ne portent aucune preuve récente tant qu’elles n’ont pas été confirmées.

Pour les administrateurs en SSO, vérifiez l’aptitude du fournisseur d’identité avant de compter sur la gestion du compte : il doit accepter une nouvelle autorisation avec prompt=login, max_age=0, et un auth_time signé et récent pour l’émetteur et le sujet d’origine. Une connexion SSO ordinaire ne suffit pas. La confirmation utilise la même URL de rappel enregistrée, un state/nonce neuf et PKCE ; le rappel n’ouvre pas de session et fonctionne sans le cookie SameSite=Strict. La fenêtre d’origine termine la vérification avec son propre cookie. Testez les fenêtres surgissantes et la politique d’isolation de l’ouvreur (opener) du fournisseur dans les navigateurs qu’utilisent les administrateurs. Une preuve manquante est refusée, sans boucle de connexion silencieuse ni repli sur un mot de passe local pour une identité SSO ; le formulaire du compte conserve son brouillon.

Arrêtez l’API avant d’appliquer ou d’annuler cette modification de schéma. Lors d’un retour à une version antérieure, les sessions ordinaires et les connexions SSO ordinaires en attente sont conservées, mais les demandes de confirmation en cours sont supprimées : un binaire plus ancien ne doit jamais traiter une confirmation de compte comme une nouvelle connexion. Remonter de version ne fait pas renaître les horodatages de preuve. Cette protection couvre les modifications du compte et l’adresse électronique personnelle de récupération, pas tous les réglages des providers, du SMTP ou de la licence.

DEMO_MODE

Stockage et chemins

Les valeurs par défaut correspondent à l’image fournie. Ne les modifiez que si vous exécutez le backend en dehors de Docker.

Dimensionner le pool de connexions. Chaque passage en cours renouvelle le bail de son travail, écrit un point de reprise et lit son contexte : il tient donc une connexion un instant, encore et encore. Le nombre de passages pouvant être en cours est la somme des Livres simultanés (max_concurrency) des providers — et non le plus grand d’entre eux, car les livres traités par des providers différents s’additionnent —, plus les boucles qui ne s’arrêtent jamais : battements de cœur, boîte d’envoi (outbox), courriels, licence. Un pool plus petit que cela n’échoue pas bruyamment : les appelants font la queue, attendent DB_POOL_TIMEOUT, et reçoivent une erreur qui ressemble en tout point à celle d’une base de données hors service.

Les deux processus indiquent au démarrage si le pool couvre les providers : db_pool=ok capacity=… providers=… dans le journal, ou db_pool=undersized avec ce qu’il faut augmenter. Une ligne de journal status=pool_exhausted signale que le pool s’est épuisé ; status=database_unavailable, que la base elle-même n’a pas répondu. Les valeurs par défaut (40 + 40 par processus) couvrent une installation chargée avec de la marge. Les augmenter impose d’augmenter aussi max_connections sur le service de base de données — le fichier Compose fourni le règle à 200 précisément pour cette raison ; sinon, c’est le serveur qui sera le prochain à manquer de connexions.

Journal

Chaque service de l’application (API, worker, migrations) écrit ses événements dans un fichier qui lui est propre, dans LOG_DIR, en plus de la sortie habituelle du conteneur ; le script de déploiement de production y écrit aussi deploy.log. librisctl journal, ou python -m app.journal dans un conteneur, les lit comme une seule chronologie — voir l’exploitation. Le fichier Compose monte LOG_DIR depuis le volume logs, ou depuis le répertoire de l’hôte nommé par LIBRIS_LOG_DIR (propriétaire uid 10001, mode 0700) ; les scripts de production utilisent $LIBRIS_PRODUCTION_BASE/logs (ou LIBRIS_PRODUCTION_LOG_DIR).

Envois et imports

Une archive de projet qui dépasserait MAX_UPLOAD_MB ou MAX_UNPACKED_MB est refusée dès l’export, avec le réglage à augmenter, car elle ne pourrait pas être importée de nouveau.

Chaîne de traduction

Pilote automatique

Le pilote automatique mène un livre lancé de l’import à l’export sans intervention humaine ; voir le pilote automatique. Ces variables sont des valeurs par défaut qu’un administrateur peut remplacer dans Paramètres › Pilote automatique.

Modifiez les seuils lorsque le pilote automatique accepte trop (augmentez-les) ou laisse trop de décisions en suspens (baissez-les).

Courriels

Les administrateurs peuvent configurer le transport dans Paramètres → Courriels SMTP sans accès au shell ni redémarrage de l’API et du worker. Les réglages enregistrés remplacent les valeurs d’environnement SMTP_* ci-dessous. L’interrupteur de désactivation explicite arrête à la fois la mise en file et l’envoi ; les messages déjà en file restent dans la boîte d’envoi. Revenir aux variables SMTP supprime le remplacement et applique de nouveau l’environnement.

Le mot de passe est en écriture seule et chiffré avec la SECRET_KEY existante. Laissez son champ vide pour le conserver, ou cochez l’option d’effacement explicite pour le supprimer. Sauvegardez SECRET_KEY avec la base ; après un changement de clé, saisissez de nouveau le mot de passe SMTP. La vérification des certificats TLS ne peut pas être désactivée.

Mettre un courriel de test en file écrit dans la même boîte d’envoi que celle qu’utilisent les notifications et la récupération de mot de passe. Une réponse 202 signifie « mis en file », pas « remis » : le worker doit être en marche. Actualisez la boîte d’envoi pour voir les messages en attente, en cours d’envoi, envoyés et en échec, les tentatives, l’heure du prochain essai et une explication sans danger. Ni le corps, ni le jeton de réinitialisation, ni le contexte, ni la réponse brute du serveur ne sont renvoyés. Un message en échec, une fois le problème réparé, peut être remis en file. Les messages de réinitialisation de mot de passe ne peuvent pas être réessayés ici : demandez un nouveau lien de réinitialisation plutôt que de renvoyer un lien expiré.

Plusieurs workers réservent chaque message de façon atomique avant de le remettre. Un bail de deux minutes est renouvelé toutes les quarante secondes pendant un envoi lent ; aucune session SQL n’est tenue pendant l’échange SMTP. Un worker qui plante laisse une réservation récupérable, et huit tentatives interrompues deviennent un échec visible. Un nouvel essai administratif remet à zéro le budget de tentatives, mais pas la propriété : un nouveau jeton opaque écarte l’ancien expéditeur. Aucun nouvel essai n’est permis tant que le message est sending. La remise est « au moins une fois », pas « exactement une fois » : une acceptation SMTP suivie d’un plantage avant l’acquittement local peut entraîner une nouvelle remise. Les nouveaux essais conservent leur Message-ID, sans supposer que le destinataire élimine les doublons.

Arrêtez les workers de l’ancienne version avant la mise à jour : ils ne reconnaissent pas sending. Arrêtez tous les workers de courriel avant un retour à une version antérieure. Ce retour remet les messages en cours d’envoi dans la file d’attente (ou en échec si leur budget de tentatives était épuisé) avant de supprimer la propriété des baux ; il ne supprime aucun courriel. Un message déjà accepté par SMTP peut donc être envoyé de nouveau après le retour en arrière.

Les pièces jointes sont de nouveau comparées à DELIVERY_MAX_MB juste avant l’encodage MIME, car un livre peut grossir après sa mise en file. Ce contrôle évite de gonfler en base64 une charge trop volumineuse ; il ne borne pas à lui seul la mémoire utilisée par le constructeur d’EPUB. Les pièces jointes trop volumineuses apparaissent comme des échecs.

Libris signale quatre choses à un lecteur, et seulement quatre : un livre est terminé, un travail s’est arrêté et l’attend, le quota de mots de la licence s’épuise, et la licence n’a pas pu être renouvelée. Tout le reste, il le fait en silence. Un message part lorsque quelque chose s’est terminé ou est sur le point de s’arrêter, jamais lorsque quelque chose a simplement commencé — personne ne veut un courriel par passage, tout le monde en veut un quand le livre est fini.

Le silence est la règle par défaut. Un compte sans adresse ne reçoit rien, et une installation mise à jour vers cette version démarre silencieuse : un lecteur doit indiquer une adresse, dans Mon compte › Notifications, et peut désactiver chaque type de message et choisir le français ou l’anglais. Rien n’est envoyé depuis une requête non plus : un message est écrit dans email_outbox dans la même transaction que ce qu’il annonce, et le worker vide la file en attendant une minute, puis deux, puis quatre, jusqu’à six heures, et abandonne après huit tentatives.

L’envoi est authentifié auprès d’un vrai serveur de courriel. Un relais anonyme est refusé par la moitié du monde, et une notification qui atterrit dans les indésirables est une notification qui n’a pas été envoyée.

Les deux modes TLS vérifient le certificat du serveur et son nom d’hôte avant l’authentification ou l’envoi du courriel. Pour une autorité de certification privée, installez sa chaîne de confiance dans le magasin de certificats de confiance du conteneur. Un certificat auto-signé, expiré ou ne correspondant pas est une erreur à corriger sur le serveur de courriel ou dans le magasin de confiance, pas une raison de désactiver la vérification. Un passage à STARTTLS qui échoue ne se replie jamais sur l’envoi des identifiants en clair.

L’endroit où sont envoyés les livres terminés d’un lecteur se règle par compte, dans Mon compte › Notifications : une adresse à part, parce qu’une adresse Kindle n’est pas une boîte aux lettres que quelqu’un lit. La renseigner est le seul consentement qui existe — il n’y a pas de type à désactiver, et une adresse vide n’envoie rien.

Licence

Ce que vend une licence, ce sont des comptes et des machines. Les comptes sont les personnes qui peuvent se connecter à l’installation. La création d’un compte au-delà de ce nombre est refusée — et seulement elle : la connexion, le travail, la lecture et l’export ne sont jamais touchés, car une licence qui se réduit ne doit empêcher personne d’accéder à l’installation dans laquelle il travaille. Paramètres › Utilisateurs indique combien de places sont occupées sur combien. Les machines sont les installations sur lesquelles la clé peut être activée en même temps : 2 pour l’essai, 3 pour Personnel, 5 pour Studio, 10 pour Pro. Quand elles sont toutes prises, activer une machine de plus libère la plus ancienne, à condition qu’elle occupe sa place depuis au moins 7 jours ; sinon l’activation est refusée (move_too_soon). Libérer cette machine dans Paramètres › Licence rend une place aussitôt — c’est ce qu’il faut faire avant un déménagement.

Les mots du cycle de quota — ou du mois civil avec un serveur de licences qui ne connaît pas les cycles — parviennent au serveur de licences avec le battement de cœur toutes les LICENCE_HEARTBEAT_HOURS, et désormais aussi à la fin de chaque travail — un appel par travail, jamais par passage, si bien que le chiffre que lit un éditeur a au pire un livre de retard, et non une heure.

Le quota se renouvelle à la date anniversaire de l’abonnement, pas le premier du mois : une licence vendue le 12 repart le 12 de chaque mois (une licence commencée le 31 repart le dernier jour des mois plus courts). Le serveur de licences nomme le cycle dans le certificat — ses bornes, l’allocation de la formule et ce que le cycle précédent a dépassé, qu’il déduit de celui-ci, une fois. Libris compte ses mots dans ce cycle, rapporte les derniers mots d’un cycle terminé à ce cycle, et affiche la date du nouveau quota dans Paramètres › Licence. Avec un serveur de licences qui ne connaît pas les cycles, rien ne change : mois civil, sans report.

Un livre est compté dès qu’il est ajouté, pas au fil de sa traduction : tous ses mots, au moment de l’import, même s’il est supprimé ensuite sans avoir été traduit. Cela vaut pour tous les chemins (assistant d’import, API d’automatisation, MCP, sources suivies, restauration d’une archive, seconde langue) et pour chaque chapitre ajouté ou remplacé ensuite (seulement ses nouveaux passages). Un livre est accepté tant que ses mots tiennent dans ce qui reste du cycle plus la marge LICENCE_QUOTA_OVERRUN_WORDS ; au-delà, il est refusé en entier (402 licence_quota_insufficient) et rien n’est compté. Le traduire, le relancer ou refaire un passage ne coûte ensuite plus rien, même une fois le quota atteint ; seule la comparaison de providers, qui appelle les modèles en plus, reste comptée à part. Les livres ajoutés avant cette règle (0.16.4 et avant) restent comptés comme avant, passage par passage au fil de leur traduction : rien n’est recompté à la mise à jour, le compteur repart du nombre qu’il avait.

Libris est un logiciel sous licence. Une installation s’active une fois avec la clé achetée par son lecteur, dans Paramètres › Licence, puis fonctionne grâce à un certificat que le serveur de licences signe et renouvelle toutes les LICENCE_HEARTBEAT_HOURS (toutes les heures par défaut). C’est le certificat qui décide — ni un réglage ni la réponse qui l’a apporté — et il vaut trois jours (72 heures, fixées par le serveur de licences) : une panne du serveur de licences n’interrompt donc jamais la lecture de personne ; une révocation arrête l’installation au prochain renouvellement qu’elle parvient à effectuer. Ce qui est refusé sans licence valide, c’est le travail qui coûte des mots — un lancement, et chaque appel au modèle d’un travail déjà en cours, qui se met en pause avec stop_reason = licence et reprend dès que la licence autorise de nouveau le travail. Tout ce qui a déjà été produit reste lisible, exportable et supprimable : un lecteur bloqué ne perd jamais un livre.

Une révocation est le seul type de réponse qui retire le certificat. Quatre refus arrêtent une installation — la licence est révoquée, suspendue, expirée, ou le serveur ne connaît pas la clé — et toute autre réponse du serveur de licences, y compris une requête qu’il n’a pas comprise, compte comme une panne : le certificat détenu garde ses trois jours, la raison est affichée dans Paramètres › Licence, et le renouvellement suivant réessaie. Une version de Libris plus récente que le serveur de licences qu’elle appelle ne doit jamais pouvoir arrêter un lecteur titulaire d’une licence.

Ce que signe cette installation. À sa première activation, Libris tire une paire Ed25519, garde la moitié privée chiffrée avec SECRET_KEY à côté de la clé de licence, et envoie la moitié publique. Chaque rapport ultérieur porte un compteur, l’horloge de cette machine et une signature couvrant l’ensemble du rapport, de sorte que ce qu’enregistre le serveur de licences ne puisse être ni falsifié par un tiers ni rejoué. Rien à configurer : une installation qui ne détient pas encore de paire en enregistre une à sa prochaine activation, et une installation dont le serveur ne connaît pas la clé se réactive d’elle-même plutôt que d’attendre quelqu’un. Un lecteur qui modifie sa propre copie peut évidemment lire cette clé dans sa propre base — cela rend un rapport digne de confiance face à un tiers, pas face à son propriétaire.

L’empreinte envoyée au serveur de licences a deux moitiés : un hachage du machine-id de l’hôte, qui change quand le lecteur change de machine et survit à un redéploiement, et un identifiant que Libris a tiré à son premier démarrage, qui suit une sauvegarde restaurée. Un conteneur doit recevoir le machine-id de l’hôte — /etc/machine-id:/etc/machine-id:ro, comme le fait le fichier Compose — faute de quoi chaque recréation ressemble à un déménagement vers une autre machine et Libris se rabat sur une empreinte à lui, plus faible.

Ce que donne une formule

Le certificat porte ce qu’accorde la formule de la licence, et Libris l’applique tel qu’il figure dans le certificat, jamais d’après un réglage :

Paramètres › Licence affiche la formule, les mots du cycle et, pour chaque droit, s’il est compris. L’API d’automatisation et le partage sont compris dans les formules Studio et Pro, pas dans l’essai ni dans la formule Personnelle. Le certificat d’un serveur de licences antérieur à ces droits ne les nomme pas et garde ce qu’il a toujours permis. Les mots, machines, comptes et prix de chaque formule, ainsi que l’essai, sont sur libris-translate.com : le serveur de licences les accorde, le site les publie, et cette documentation n’en répète pas les chiffres.

Certificat perpétuel (fin d’activité de l’éditeur)

Si l’éditeur de Libris cesse son activité, le serveur de licences s’arrête. Avant cela, chaque licence valide reçoit par courriel un certificat perpétuel (dev/libris-licence#29) : signé avec la même clé que le certificat horaire, sans date d’échéance, sans machine et sans limite de mots (quota.words = 0). Il est lié à la clé de licence : son key_sha256 est le SHA-256 de la clé telle que l’écrit le serveur de licences (LIB-XXXX-XXXX-XXXX-XXXX) ; le certificat seul ne vaut donc rien, et avec la clé il fonctionne sur toute installation — réinstallation, nouvelle machine ou sauvegarde restaurée comprises.

Installez-le une fois, en administrateur :

• Paramètres › Licence › Certificat perpétuel : collez le certificat (les retours à la ligne et l’indentation du courriel n’ont pas d’importance) ou choisissez le fichier .libris-certificate, et donnez la clé de licence si l’installation ne la détient pas déjà — dans tous les cas, avec ou sans tirets ;
• ou en ligne de commande, dans le conteneur de l’API : docker compose exec -T api python -m app.licence.perpetual < licence.libris-certificate (la clé doit déjà être enregistrée, ou exportée dans LIBRIS_LICENCE_KEY et transmise avec docker compose exec -T -e LIBRIS_LICENCE_KEY api … ; code 0 installé, 1 refusé) ;
• ou par l’API : POST /api/settings/licence/certificate avec {"certificate": "…", "key": "…"} (administrateurs ; 422 avec invalid_certificate, key_required ou key_mismatch).

L’installation est inscrite au journal (licence=perpetual_installed). Dès lors, Libris n’appelle plus jamais le serveur de licences — ni renouvellement, ni rapport, ni libération — et aucune réponse de qui que ce soit à son adresse ne peut retirer le certificat ; Paramètres › Licence affiche « Licence perpétuelle (fin d’activité de l’éditeur) », sans échéance et sans bouton de renouvellement. Les mots de chaque mois restent comptés localement, pour les statistiques, sans aucune limite. Les comptes, l’API d’automatisation et le partage suivent les features du certificat exactement comme avec le certificat horaire ; instances n’est plus vérifiable et reste indicatif. Activer une autre clé reste possible et remplace le certificat perpétuel — conservez le courriel avec la clé.

Une version de Libris publiée avant ce changement refuse ce certificat : mettez à jour tant que le registre est encore ouvert (six mois après l’envoi des certificats, le courriel donne la date). Le certificat horaire (v: 1) ne change pas : sans date d’échéance, il reste un certificat expiré.

Devise

L’installation compte dans une seule devise, choisie dans Paramètres › Budgets : les prix des providers y sont saisis, tous les coûts calculés à partir d’eux y sont exprimés, et chaque montant affiché par l’interface porte son symbole. La changer indique ce que représentent les nombres enregistrés — cela ne les convertit pas.

Une grille tarifaire dans une autre devise peut être saisie telle quelle : les champs de prix portent leur propre devise, et les deux prix sont convertis une fois, à l’enregistrement, aux taux de référence quotidiens de la Banque centrale européenne. Le worker les récupère quelques fois par jour (sans compte, sans clé, sans réglage), les conserve avec la date qu’ils portent, et ne s’en sert pour rien d’autre. Une installation sans accès sortant ne les récupère jamais : sa propre devise est alors la seule proposée, et rien d’autre ne change.

Budgets de coût

Plafonds de dépenses, dans la devise de l’installation ; voir le guide d’utilisation et la référence de l’API. Un livre peut avoir son propre plafond, et un jeton d’API le sien ; ces variables sont les valeurs par défaut qu’un administrateur peut remplacer dans Paramètres › Budgets.

Plage de travail et plafond du jour

Une file équitable sait ordonner le travail ; elle ne savait pas attendre. Les modèles sont moins chers et moins sollicités la nuit, l’électricité souvent aussi, et quelqu’un qui traduit un feuilleton de cinq cents chapitres préfère que cela tourne entre une heure et sept heures plutôt que pendant qu’il utilise la machine. Un budget par livre n’arrête par ailleurs qu’un livre, et rien n’empêchait une installation de dépenser l’équivalent d’un mois en un après-midi parce que quatre volumes avaient été lancés ensemble.

Les deux se trouvent dans Paramètres › Budgets, dans la carte Plage de travail et plafond du jour ; il n’y a pas de variable d’environnement, car ce sont des décisions que l’on change au fil des saisons plutôt qu’à l’installation. Désactivés par défaut.

• La plage se lit sur l’horloge locale du serveur. Une plage qui franchit minuit est le cas ordinaire : 01:00 à 07:00 désigne la nuit. Une plage dont les deux bornes sont égales, ou illisible, n’arrête jamais rien — un réglage erroné ne doit pas être une raison de refuser du travail.
• Le plafond est ce que la journée peut coûter, tous livres confondus, dans la devise comptable. 0 : aucun.

Lors d’un changement d’heure, la prochaine ouverture est un instant réel : l’heure répétée de l’automne peut ouvrir la plage une seconde fois ; une ouverture qui tombe dans l’heure sautée au printemps est avancée à la première minute existante à l’intérieur de la plage. Si toute la plage est sautée, le travail attend l’ouverture du lendemain. Le plafond compte la consommation de jetons au prix par million enregistré pour chaque appel, depuis minuit heure locale, et non la somme des libellés de prix du provider. Les prix importés sont déjà exprimés dans la devise comptable unique de l’installation ; aucune conversion au taux de change en temps réel n’a lieu ici.

Ni l’une ni l’autre n’interrompt quoi que ce soit brutalement. En dehors de la plage, ou au-delà du plafond, la file ne prend plus rien de nouveau, et un travail déjà en cours est différé à son prochain appel au modèle : il repasse en waiting avec la prochaine ouverture comme next_attempt, le mécanisme qu’utilisent déjà les nouvelles tentatives, si bien qu’il redémarre de lui-même sans qu’il faille cliquer sur quoi que ce soit. Un travail mis en pause par la garde de licence a besoin d’une personne ; celui-ci non, car rien ne va mal. Sa raison est window, et son message dit quand il reprendra — « en pause » sans heure ressemble à une panne.

API d’automatisation

Limites de l’API d’automatisation (/api/v1), utilisée par les scripts et d’autres applications au moyen de jetons d’API. Voir la référence de l’API.

File d’attente équitable

Les travaux ne sont pas démarrés du plus ancien au plus récent : le worker les prend par priorité, puis en commençant par le compte qui a le moins de travaux en cours, à tour de rôle entre les comptes (voir l’architecture (en anglais)). Ces variables sont des valeurs par défaut qu’un administrateur peut remplacer dans Paramètres › File d’attente, où des quotas peuvent aussi être définis par compte.

Webhooks

Les webhooks préviennent une intégration lorsqu’une demande d’API se termine. Ils sont désactivés tant qu’aucun hôte n’est autorisé. Ces variables sont des valeurs par défaut qu’un administrateur peut remplacer dans Paramètres › API d’automatisation.

Connexions Nextcloud / WebDAV

Chaque compte peut enregistrer des connexions vers Nextcloud, ownCloud, un NAS ou tout serveur WebDAV (Mon compte › Connexions Nextcloud / WebDAV), pour y importer des sources et y envoyer les livres terminés. Le connecteur est un client HTTP sortant dirigé vers une adresse que l’on saisit ; il est donc désactivé tant qu’un administrateur n’a pas listé les serveurs qu’il peut joindre — comme avec SOURCE_WATCH_HOSTS, une installation mise à jour vers cette version ne joint rien. Ce sont des réglages de l’installation (environnement uniquement).

Quoi que ces réglages autorisent, le client conserve les règles des webhooks et des sources surveillées : le nom est résolu une fois par appel et la connexion va à l’adresse vérifiée (pas de DNS rebinding), les variables de proxy du serveur sont ignorées, une redirection n’est suivie que vers le même schéma, le même hôte et le même port (jamais ailleurs, pour que les identifiants ne quittent jamais le serveur pour lequel ils ont été saisis), et ce qui est lu est borné — MAX_UPLOAD_MB pour un fichier, comme pour un fichier envoyé depuis le navigateur, quelques mégaoctets pour la liste d’un dossier. Les mots de passe sont chiffrés avec SECRET_KEY comme les clés des providers, jamais renvoyés par l’API et jamais journalisés ; après un changement de SECRET_KEY, l’interface les redemande. L’envoi d’un livre est mis en file pour le worker, avec les nouvelles tentatives de la publication en bibliothèque ; un dossier de destination qui n’existe pas est créé (MKCOL), seulement à l’intérieur de l’adresse de la connexion. Une connexion peut aussi recevoir automatiquement chaque livre terminé de son compte (option de la connexion, désactivée par défaut) : rien à régler sur l’installation au-delà de WEBDAV_HOSTS.

Mémoire et recherche web

Pont Codex

Utilisé uniquement par le provider facultatif Codex · compte ChatGPT ; voir Codex.

Juge qualité

Un modèle d’un autre provider qui relit chaque passage terminé et fait corriger ses erreurs ; voir Juge qualité. Paramètres › Pilote automatique et les réglages d’un livre remplacent la variable.

Ressources du serveur

Conservation des données

Le worker nettoie les données de diagnostic une fois au démarrage, puis toutes les heures. 0 désactive une règle. Ce que conserve chaque règle, et comment le mesurer avant de l’appliquer, est expliqué dans l’exploitation (en anglais).

Réglages modifiés dans l’interface

Les administrateurs peuvent modifier les réglages suivants sans rien redémarrer, depuis Paramètres dans l’interface web (ou la route d’API correspondante, avec une session administrateur). La nouvelle valeur s’applique à la prochaine décision que prend le worker.

Les autres pages de Paramètres (Providers LLM, Prompts, Utilisateurs, Jetons d’API) contiennent des données qui n’existent que dans la base ; elles n’ont pas d’équivalent dans l’environnement.

Quelle valeur l’emporte

De la plus forte à la plus faible :

1. Le lancement ou la demande elle-même, par exemple "autopilot": false, "final_review": false, analysis_mode ou threads dans un lancement ou une requête d’API.
2. Les réglages propres au volume : son interrupteur de pilote automatique, ses providers de secours, sa taille de passage, son mode de relecture, son mode d’analyse, le nombre de passages traités à la fois et son budget de coût.
3. Une valeur enregistrée dans Paramètres.
4. La variable d’environnement dans .env.
5. La valeur par défaut intégrée indiquée sur cette page.

Détails par page :

• Pilote automatique, Budgets et webhooks affichent les valeurs effectives à côté des valeurs de l’environnement. Revenir aux valeurs de l’environnement (DELETE) oublie tout ce qui a été enregistré sur cette page. Les providers de secours sont enregistrés sous forme d’identifiants de providers ; un nom inconnu est refusé, et un provider supprimé par la suite est ignoré.
• Le secret de webhook global saisi dans l’interface est enregistré chiffré avec SECRET_KEY et n’est plus jamais affiché. Il l’emporte sur API_WEBHOOK_SECRET ; Oublier le secret enregistré ici revient à la variable. Si SECRET_KEY a changé et que le secret enregistré ne peut pas être lu, la variable est utilisée.
• Reprise automatique affiche le délai en vigueur, la valeur de PROVIDER_RECOVERY_BASE_SECONDS et indique si le délai a été enregistré ici (badge Délai enregistré ici ou Délai de l’environnement). Revenir au délai de l’environnement (DELETE) oublie le délai enregistré ; la variable s’applique de nouveau aux tentatives suivantes.
• File d’attente affiche les valeurs en vigueur à côté des valeurs de l’environnement. Les lignes par compte remplacent les quotas de l’installation pour un compte (vide : la valeur de l’installation ; 0 : aucune limite pour ce compte) et peuvent l’autoriser à demander la priorité Élevée, sinon réservée aux administrateurs. Un jeton d’API peut avoir ses propres limites, plus basses (voir les jetons d’API). Revenir aux valeurs de l’environnement (DELETE) oublie la page, lignes par compte comprises.
• Mémoire · OpenViking remplace l’environnement champ par champ. Une clé enregistrée là est chiffrée avec SECRET_KEY ; si elle ne peut plus être lue, la recherche OpenViking est désactivée et la traduction continue avec la mémoire interne.
• Nettoyage d’OpenViking affiche l’interrupteur en vigueur, la valeur de OPENVIKING_CLEANUP_ON_DELETE et indique si l’interrupteur a été enregistré ici. Revenir à la valeur de l’environnement (DELETE) l’oublie. L’interrupteur s’applique aux suppressions suivantes ; les nettoyages déjà en file s’exécutent quand même. Les compteurs de blocages couvrent toute la file ; un administrateur peut retirer un nettoyage en attente après un changement de racine sans supprimer ses documents. L’analyse quotidienne indépendante des orphelins est désactivée par défaut et ne supprime jamais rien. Voir le nettoyage d’OpenViking.
• SearXNG remplace entièrement l’environnement une fois enregistré : l’URL et l’interrupteur enregistrés sont utilisés, même si SEARXNG_URL est défini.