Exploitation du serveur

Administration et paramètres

Page d'administration, envoi des codes d'inscription (SMS et e-mail), valeurs de configuration du serveur, sauvegardes et sécurité : la référence de l'opérateur.

Le serveur intègre une page d'administration qui s'ouvre dans un navigateur. Elle permet de consulter l'état du serveur, de choisir comment les codes d'inscription et de connexion sont remis, et de gérer les utilisateurs et les bots. Cette page réunit en un seul endroit la référence de la page d'administration et des valeurs de configuration du serveur. Si vous devez d'abord installer le serveur, consultez Installation du serveur. L'interface de la page d'administration est en coréen : les libellés coréens des onglets, boutons et réglages sont indiqués ici entre parenthèses.

Ouvrir la page d'administration

La page d'administration se trouve à l'adresse /admin/ du port HTTP d'administration (8080 dans la configuration de production) et ne s'ouvre que depuis le serveur lui-même (127.0.0.1). L'opérateur y accède par un tunnel SSH.

# Sur votre ordinateur (laissez la commande tourner)
ssh -N -L 8080:127.0.0.1:8080 <utilisateur>@<serveur>
# Navigateur : http://localhost:8080/admin/

# Le jeton (sur le serveur)
sudo cat /srv/pabal/pabal_server/data/admin-token

Saisissez le jeton, puis Ouvrir (열기). Le navigateur mémorise le jeton ; pour l'effacer, utilisez Effacer le jeton (토큰 지우기) en haut à droite. Pour choisir vous-même le jeton, définissez TELEGRAM_ADMIN_TOKEN (16 caractères minimum) : aucun fichier n'est alors écrit.

Contenu de chaque onglet

Les actions dangereuses (déconnexion, blocage, annulation d'un code) ne s'exécutent qu'après un second clic.

Codes d'inscription et de connexion

Quand une personne saisit son numéro de téléphone dans l'application, le serveur crée un code et l'envoie selon le mode choisi dans l'onglet Paramètres (설정).

• En mode e-mail, une nouvelle inscription peut utiliser n'importe quelle adresse, qui devient l'e-mail de connexion du compte. Un compte existant ne reçoit le code qu'à son e-mail de connexion enregistré : on empêche ainsi quelqu'un d'entrer en saisissant sa propre adresse avec le numéro d'une autre personne. Pour un compte existant sans e-mail de connexion, le code est envoyé à la place par SMS (s'il est configuré) ou via la page d'administration. Vous pouvez renseigner l'e-mail de connexion depuis l'onglet Utilisateurs (사용자).
• L'envoi se fait en arrière-plan : l'application passe aussitôt à l'écran du code. Le résultat de l'envoi (succès ou échec, avec la raison) s'affiche dans l'onglet Codes d'inscription.
• L'inscription (saisie du nom) n'est possible qu'après avoir saisi le bon code. Les codes erronés ne sont acceptés qu'un nombre limité de fois ; au-delà, même le bon code est refusé.

Paramètres — inscription et connexion

Paramètres — SMS

Le texte peut contenir {code} (le code) et {minutes} (la durée de validité). Valeur par défaut : [파발] 인증 코드: {code} (« [Pabal] Code de vérification : {code} »). Après l'enregistrement, vérifiez avec Envoi de test (테스트 발송).

Paramètres — e-mail (SMTP)

L'adresse d'expédition doit être une adresse depuis laquelle le compte SMTP a le droit d'envoyer. L'objet et le corps acceptent eux aussi {code} et {minutes}.

Gestion des utilisateurs

• Déconnecter tous les appareils (모든 기기 로그아웃) : coupe toutes les connexions (clés d'autorisation) du compte. À utiliser pour un utilisateur qui a perdu un appareil.
• Bloquer le numéro (번호 차단) : ce numéro ne peut plus recevoir de code, et le compte correspondant est aussitôt déconnecté de tous ses appareils. Revient au même que la liste de blocage des numéros de téléphone de l'onglet Paramètres (설정).
• E-mail de connexion (로그인 이메일) : nécessaire, en mode e-mail, pour qu'un compte existant puisse se connecter par e-mail.
• @BotFather est un bot intégré au serveur : il ne peut pas être déconnecté.

Gestion des bots

L'onglet Bots (봇) affiche le mode de connexion de chaque bot : s'il est connecté en MTProto, s'il a appelé getUpdates en HTTP au cours de la dernière minute, quelle est l'adresse de son webhook et si celui-ci est actuellement en échec (avec la raison). Si le nombre de mises à jour en attente ne cesse d'augmenter, le programme du bot est arrêté ou son webhook échoue. La suppression d'un bot et l'émission d'un nouveau jeton se font par le créateur du bot, auprès de @BotFather.

Variables d'environnement

Le serveur lit le fichier de configuration (server-config.json), puis le surcharge avec les variables d'environnement. Le fichier compose de production définit les valeurs ci-dessous : en général, il suffit de modifier .env.

Fichiers de données

Notes de sécurité

• N'exposez pas directement le port d'administration sur Internet. Dans la configuration de production, Caddy bloque avec un 404 les chemins d'administration comme /admin, /health et /metrics.
• Toutes les requêtes de données d'administration exigent Authorization: Bearer <jeton>, et les pages d'autres sites ne peuvent pas les lire.
• Les secrets SMS et SMTP se trouvent uniquement dans operations.json ; l'interface et l'API indiquent seulement « enregistré » (저장됨). Si vous enregistrez en laissant un champ secret vide, la valeur existante est conservée.
• Jetons et secrets n'apparaissent pas dans les journaux, et les numéros de téléphone y sont masqués. Les adresses de la Bot API (qui contiennent le jeton) ne sont pas non plus journalisées.
• Les clés d'autorisation étant stockées dans la base de données, quiconque y a accès peut déchiffrer le trafic des utilisateurs. Protégez la base de données et les sauvegardes aussi soigneusement que la clé RSA.

Limites

• Les codes en attente et l'historique récent sont en mémoire et disparaissent au redémarrage du serveur (il suffit de redemander un code depuis l'application).
• L'envoi réel par un fournisseur de SMS doit être vérifié avec votre propre compte chez ce fournisseur. Le serveur construit les requêtes conformément à la documentation de chaque fournisseur.
• Pas encore disponible : suppression de comptes, suppression forcée de bots, consultation des messages, affichage des journaux, graphiques.