77. pepsi-secure-link

Inspecter et gérer les messages détenus dans le portail de lien sécurisé.

77.1. Rôle

pepsi-secure-link est la CLI d’opérateur du portail de repli par lien sécurisé : list montre ce qui est en attente (--limit, --expired pour inclure les messages qui ont expiré mais n’ont pas encore été élagués, --json), show TOKEN y ajoute le journal d’accès d’un message, revoke TOKEN détruit un message et prune supprime ce qui a expiré (--grace-hours le conserve un peu plus longtemps). Ce n’est pas une étape. Référence : pepsi-secure-link(1).

77.2. Ce qu’il ne fera pas

Il rapporte qui et quand, jamais quoi. Il n’existe aucune sous-commande qui affiche un message stocké, pas de --decrypt et pas de clé de séquestre : la clé de contenu est dérivée du PIN du destinataire, que ce serveur ne stocke jamais, il n’y a donc rien qu’un administrateur puisse consulter. Lorsqu’un PIN est perdu, la réponse est que l’expéditeur renvoie le message. Voir Le portail de repli par lien sécurisé pour l’argumentation complète et ses conséquences.

77.3. L’exécuter

Lancé en tant que root, il adopte le compte de service pepsi. Ce rôle peut lire toutes les colonnes de pepsi.secure_message sauf ciphertext, ce qui explique pourquoi le listage fonctionne et pourquoi rien ici ne peut afficher un message, fût-ce par accident ; pepsi-setup vérifie cette limite contre la base de données réelle à chaque exécution.

prune a sa place dans une tâche cron quotidienne ou un timer systemd : le portail refuse déjà un jeton expiré, mais rien ne supprime les octets tant que la tâche ne s’exécute pas.