[TLSCertsMonitor] Change mount point on host

pica-tls-certs-monitor/README.md

@@ -14,7 +14,17 @@ La documentation complète est disponible [ici](https://gitlab.utc.fr/picasoft/p
 
 ## Déploiement
 
-Il n'y a pas de configuration spécifique à ce service ; la configuration se fait sur les services supervisés. Il suffit de déployer ce conteneur avec un `docker-compose up -d` sur tous les hôtes souhaités (*i.e.* qui contiennent des services non-HTTPS qui ont besoin de certificats ; `monitoring` est le premier candidat avec le serveur mail et le serveur LDAP)
+Il n'y a pas de configuration spécifique à ce service ; la configuration se fait sur les services supervisés. Il suffit de déployer ce conteneur avec un `docker-compose up -d` sur tous les hôtes souhaités (*i.e.* qui contiennent des services non-HTTPS qui ont besoin de certificats ; `monitoring` est le premier candidat avec le serveur mail et le serveur LDAP).
+
+## Sécurité
+
+Bien évidemment, les clés privées générées sont **extrêmement sensibles**. C'est pourquoi les fichiers générés ne sont **pas** enregistrés dans un volume géré par Docker Compose. En effet, supposons que tous les certificats soient générés dans un volume `certs`.
+
+Tout service voulant récupérer son certificat devrait monter `certs`, ayant ainsi accès aux clés privées des autres services, ce qui poserait problème en cas de compromission du conteneur.
+
+On pourrait alors envisager de créer un volume par service, comme `ldap_certs`, `mail_certs`... Mais ceci impliquerait de modifier le présent [docker-compose.yml](./docker-compose.yml) à chaque fois, alors qu'il est autonome avec le système actuel.
+
+On a choisi une bonne fois pour toutes `/DATA/docker/certs` comme dossier de stockage des certificats, et par convention, les services monteront `/DATA/docker/certs/<domain>` pour ne pas risquer de compromettre d'autres services.
 
 ## Mise à jour
 

pica-tls-certs-monitor/docker-compose.yml

@@ -6,6 +6,6 @@ services:
     container_name: tls-certs-monitor
     volumes:
       - /DATA/docker/traefik/certs/acme.json:/certs/acme.json
-      - /DATA/docker/tls/certs:/output
+      - /DATA/docker/certs:/output
       - /var/run/docker.sock:/var/run/docker.sock
     restart: unless-stopped