Référence de server.conf

/etc/infrariver/server.conf, %config(noreplace) — jamais écrasé par une mise à jour, seules les nouvelles clés introduites par une release plus récente sont ajoutées automatiquement (valeurs déjà modifiées toujours préservées).

Clé	Défaut	Description
SECRET_KEY	(auto-généré)	Clé de signature des sessions/jetons. Générée automatiquement au premier démarrage si vide.
SMTP_ENCRYPT_KEY	(auto-généré)	Clé de chiffrement du mot de passe SMTP stocké en base. Générée automatiquement au premier démarrage si vide.
DB_PASSWORD	(vide)	Mot de passe MariaDB — doit être renseigné manuellement, ne peut pas être auto-généré (doit correspondre au compte MariaDB réellement créé).
ADMIN_PASSWORD	(auto-généré)	Mot de passe du compte administrateur initial. Généré automatiquement au premier démarrage si vide. Consommé une seule fois (création du compte à zéro utilisateur) — le modifier ensuite ici n'a aucun effet sur le compte déjà créé.
APP_ENV	production	Environnement d'exécution.
LISTEN_ADDRESS	127.0.0.1 (0.0.0.0 sur une install neuve)	Adresse d'écoute du processus API. 127.0.0.1 suppose un reverse proxy en frontal (nginx) ; 0.0.0.0 expose directement le service (à combiner avec WEB_TLS_ENABLED=true).
LISTEN_PORT	8000 (443 sur une install neuve)	Port d'écoute du processus API.
WEB_TLS_ENABLED	false (true sur une install neuve)	Si true, le service termine lui-même le TLS sur LISTEN_ADDRESS:LISTEN_PORT (certificat auto-signé par défaut, remplaçable via /admin/web-tls/). À laisser false si le reverse proxy déjà en place chez le client fait la terminaison TLS en frontal. Les certificats eux-mêmes sont dans /var/lib/infrariver/tls/ et se remplacent par /admin/web-tls/ (Accès web et certificats).
INGEST_LISTEN_ADDRESS	0.0.0.0	Adresse d'écoute de la passerelle d'ingestion mTLS pour InfraRiver Collector (processus séparé). 0.0.0.0 est le défaut voulu ici : la sécurité repose sur l'exigence d'un certificat client valide, pas sur la restriction réseau.
INGEST_LISTEN_PORT	8443	Port de la passerelle d'ingestion mTLS.
INGEST_MTLS_ONLY	false	true : les routes d'envoi des collecteurs et agents (/linuxriver/api/ingest/…, /certriver/api/…, /certmanager/api/…, /api/collector/…, /directory-collector/…) ne sont plus servies sur le port web (403), seulement par la passerelle, qui exige un certificat client : un jeton volé ne suffit plus. Recommandé sur une nouvelle installation, avant d'enrôler des collecteurs ; les bundles générés visent alors l'adresse de la passerelle. Laissé à false par défaut pour que les collecteurs déjà installés avec un jeton sur le port web continuent de fonctionner après une mise à jour. Une installation neuve l'active (true) à son premier démarrage ; une mise à jour ne change jamais la valeur, pour ne pas couper les collecteurs déjà installés avec un jeton sur le port web.
INGEST_MAX_BODY_MB	32	Taille maximale d'un envoi sur ces routes (au-delà : erreur 413). Les instantanés d'annuaire ont leur propre limite, plus grande.
INGEST_RATE_PER_MINUTE	600	Nombre de requêtes par minute et par adresse sur ces routes (au-delà : erreur 429).
INGEST_MAX_INFLIGHT	8	Nombre d'envois traités en même temps (au-delà : erreur 429).
ALLOWED_HOSTS	(vide)	Noms sous lesquels InfraRiver peut être joint, séparés par des virgules (infrariver.exemple.fr, *.corp.exemple.fr ; un port éventuel est ignoré). Tout autre nom de serveur demandé reçoit l'erreur 400 « Invalid host header ». L'adresse réglée dans Administration > Système, LISTEN_ADDRESS et localhost sont toujours acceptés. Vide ou * : aucun contrôle, et la page Administration > Système affiche un avertissement avec la ligne à ajouter. Listez tous les noms et adresses IP que vos utilisateurs et vos collecteurs utilisent avant de l'activer.
DB_HOST	localhost	Hôte MariaDB.
DB_PORT	3306	Port MariaDB.
DB_NAME	infrariver	Nom de la base.
DB_USER	infrariver	Utilisateur MariaDB.
DB_MAX_STATEMENT_TIME	55	Durée maximale (secondes) d'une requête SQL émise pendant l'affichage d'une page ; au-delà, MariaDB l'interrompt (0 = pas de limite). À garder en dessous du délai du reverse proxy (proxy_read_timeout, 60 s par défaut sous nginx ; si le vôtre est plus court, baissez cette valeur en conséquence) : sans cela, MariaDB continue d'exécuter une requête abandonnée après un 504. Ne s'applique pas aux synchronisations, tâches planifiées ni migrations de démarrage.
DB_POOL_SIZE, DB_POOL_MAX_OVERFLOW	(10 et 15 pour le portail, 4 et 6 pour la passerelle)	Connexions que chaque réservoir garde, puis ouvre en plus lors d'un pic. Ligne commentée par défaut : une valeur saisie ici s'applique aux deux services.
DB_SSL_CA	(vide)	Chemin du certificat de l'autorité qui signe celui du serveur MariaDB distant : la connexion est alors chiffrée et le certificat vérifié. Vide = pas de TLS (base locale).
LOGIN_MAX_FAILURES_USER	5	Échecs de connexion sur un même compte, en LOGIN_LOCK_MINUTES minutes, avant que le compte soit refusé (0 = pas de limite). Voir Politique de sécurité.
LOGIN_MAX_FAILURES_IP	30	Échecs de connexion d'une même adresse source, tous comptes confondus, avant qu'elle soit refusée (0 = pas de limite).
LOGIN_LOCK_MINUTES	15	Durée du refus, comptée depuis le dernier échec.
ADMIN_USERNAME	admin	Identifiant du compte administrateur initial.
ADMIN_EMAIL	admin@infrariver.local	Email associé au compte administrateur initial.
SMTP_HOST	(vide)	Serveur SMTP pour les notifications — voir aussi SMTP (les identifiants SMTP eux-mêmes sont configurés depuis l'interface web, jamais ici).
SMTP_PORT	587	Port SMTP.
SMTP_TLS	true	STARTTLS.
SMTP_SSL	false	SSL/TLS implicite.
NVD_API_KEY	(vide)	Clé API NVD optionnelle pour CveRiver (CveRiver (threat intelligence)) — accélère le rythme de synchronisation du cache CVE local.
LICENSE_FILE_PATH	/etc/infrariver/license.asc	Emplacement du fichier de licence signé (Licence).