Glossaire

Une liste de droits supplémentaires attachée au fichier, en dehors des neuf caractères habituels : un groupe nommé autorisé à écrire dans un répertoire dont il n'est pas propriétaire, un compte unique autorisé à lire un fichier précis.

systemd tient lui-même le port d'écoute et ne démarre le service qu'à la première connexion.

Deux états indépendants, sur deux lignes différentes de systemctl status nginx.

L'adresse qu'un processus passe au noyau en ouvrant son socket en écoute, et qui décide qui peut l'atteindre : 127.0.0.1 pour les processus de cette machine seule, 0.0.0.0 pour toutes ses adresses IPv4.

Dans la colonne Local Address de ss -ltn, 0.0.0.0 désigne toutes les adresses IPv4 de la machine, et [::] fait de même en IPv6 — et généralement en IPv4 aussi, puisque net.ipv6.bindv6only vaut 0 sur Ubuntu.

Le fichier qui décide, pour chaque connexion entrante, quelle méthode s'applique — selon le type de connexion, la base, le rôle et l'adresse d'origine.

Une méthode de pg_hba.conf réservée aux lignes local, celles du socket Unix /var/run/postgresql/.s.PGSQL.5432 : le serveur demande au noyau quel utilisateur du système se trouve à l'autre bout, et exige qu'il porte le nom du rôle demandé.

Le démon qui supprime les lignes mortes et rafraîchit les statistiques du planificateur, actif par défaut dès lors que track_counts l'est aussi.

Le nœud de plan qui lit toutes les lignes d'une table pour n'en garder que celles qui correspondent : ce que EXPLAIN ANALYZE affiche sous le nom Seq Scan.

La poignée de main qui transforme une requête HTTP en connexion à double sens : le client envoie Upgrade: websocket et Connection: Upgrade, le serveur répond 101 Switching Protocols.

L'unité d'un site chez Nginx : un bloc server { … } qui déclare les ports où il écoute, les noms de domaine qu'il traite et la racine d'où il sert les fichiers.

L'interface que porte toute machine Linux, lo, avec l'adresse 127.0.0.1 : un paquet envoyé là est remis par le noyau à la même machine sans jamais toucher la carte réseau.

Les trois chiffres en fin de sortie d'uptime : les moyennes sur une, cinq et quinze minutes du nombre de processus qui s'exécutent ou attendent leur tour.

Une unité qui n'exécute rien.

Un serveur PostgreSQL en fonctionnement : un répertoire de données, un port, et l'ensemble des bases qui le partagent.

Le nombre qu'une commande laisse derrière elle en se terminant, lisible dans $? : 0 pour la réussite, toute autre valeur pour un échec que le programme a choisi de signaler.

Un instantané complet de chaque fichier suivi à un instant donné, avec son commit parent, son auteur, sa date et son message — le tout identifié par une empreinte calculée sur exactement ces éléments.

Un fichier sur le disque qu'ISPConfig écrit depuis sa propre base : le vhost Nginx de /etc/nginx/sites-available/, la zone /etc/bind/pri.exemple.fr, le compte système, la tâche de sauvegarde.

Un processus de votre serveur, lancé par le même noyau que tous les autres, à cela près que ce noyau ne lui montre qu'une vue restreinte : sa propre arborescence de fichiers, sa propre table de processus, ses propres interfaces réseau.

Un secret que systemd recopie dans le service à chaque démarrage, déclaré par LoadCredential=database-url:/etc/credstore/database-url.

After= et Before= : le second des deux graphes de dépendances de systemd.

Sur un répertoire, x ne veut pas dire « exécuter » mais « avoir le droit de passer à travers », et d'y chercher un nom.

Pas une copie des fichiers de la base : une description des données que le serveur produit lui-même, à partir d'une image cohérente, et qui recrée le schéma et les lignes à la restauration.

Les deux messages que ping envoie et attend en retour : une requête d'écho ICMP, puis une réponse d'écho.

Le choix d'un service quant à qui peut ouvrir une connexion vers lui, posé une fois dans sa configuration : Environment=HOST=127.0.0.1 dans l'unité, et non une règle de pare-feu.

L'enregistrement qui contient une adresse IPv6, ce que le A est à l'IPv4.

L'enregistrement qui associe une adresse à un nom, et le seul que vous ne publiez pas vous-même.

Un objet Git à part entière, créé par git tag -a v1.4.0 -m "Delai proxy porte a 120 s" : il désigne un commit précis et porte un auteur, une date et un message.

Une faute commise à un moment et révélée à un autre, quand un déclencheur la fait enfin apparaître : un redémarrage, une rotation de journaux, l'expiration d'un certificat, la première restauration tentée.

Vite renomme chaque fichier d'assets/ d'après un hachage de son contenu — index-a3f9c2.js — tandis qu'index.html garde son nom et référence les nouveaux hachages.

Un fichier dont rm a retiré le dernier nom alors qu'un processus le tenait encore ouvert.

Deux des trois verdicts que renvoie nmap -Pn 198.51.100.25.

Ce que systemd appelle une fin normale, plus large que « code de sortie 0 » : une fin est propre aussi quand le processus est tué par SIGHUP, SIGINT, SIGTERM ou SIGPIPE — hors Type=oneshot — ou quand il sort avec un statut listé dans SuccessExitStatus=.

Un fichier dont le nom se termine par .conf, placé sous /etc/systemd/system/nginx.service.d/, analysé après l'unité du paquet et fusionné avec elle : vous écrivez la ligne que vous changez au lieu de recopier trente lignes qu'une mise à jour reprendrait.

La limite où un système de fichiers monté s'arrête et où un autre commence.

Une commande que Docker exécute dans le conteneur à intervalle régulier, et dont le code de sortie fixe son état : starting, healthy ou unhealthy.

L'état qu'affiche pg_stat_activity pour une session qui a lancé un BEGIN, garde la transaction ouverte et n'exécute plus rien.

L'enregistrement qui contient tout ce qui concerne un fichier sauf son nom : propriétaire, groupe, mode, dates, et l'emplacement des blocs de données.

Une section nommée de /etc/fail2ban/jail.local — [sshd] — qui noue trois choses : la source à lire, le filtre qui y reconnaît un échec, et le bannissement appliqué quand maxretry correspondances tombent en moins de findtime.

Un journal écrit dans /var/log/journal, seul endroit qui lui fasse traverser un redémarrage.

Un fichier dont le contenu est un chemin.

Une version de ligne que PostgreSQL a marquée comme n'étant plus visible : un UPDATE écrit une nouvelle version et marque l'ancienne comme morte, un DELETE se contente de la marquer.

Le compteur qui met fin à une boucle de redémarrage, réglé dans [Unit] : cinq démarrages — StartLimitBurst=5 — dans les dix secondes de StartLimitIntervalSec=10s, et systemd cesse de relancer le service.

La colonne available de free -h : la mémoire qu'une application peut obtenir tout de suite, y compris celle que le noyau rendrait en vidant son cache disque.

Le mode où un profil AppArmor journalise les accès hors de ses règles — puis les autorise.

Un répertoire de l'hôte rendu visible dans le conteneur sous un autre chemin : -v /srv/monapp/uploads:/app/uploads monte le même système de fichiers, pas une copie, et Docker n'en gère rien.

La réécriture des adresses d'un paquet à son passage par un routeur.

Le filtre de paquets intégré au noyau : les tables, les chaînes et les règles auxquelles chaque paquet est confronté à l'entrée, à la sortie et en transit.

La cible qui signifie qu'une interface est configurée et joignable, par opposition à network.target, que le manuel dit « très faiblement définie » : l'atteindre veut dire que la pile a été mise en place, pas qu'une adresse est montée.

La validation TLS compare le nom que vous avez demandé aux noms que le certificat revendique dans son champ subjectAltName — les clients actuels ignorent complètement le common name.

Le [1] que bash affiche quand vous lancez une commande en arrière-plan : la comptabilité privée d'un seul shell, qui s'écrit %1 quand on veut la désigner.

Le numéro que le noyau attribue à un processus à son démarrage, et le seul identifiant que kill, ps et renice acceptent sans ambiguïté.

Un ensemble de connexions à la base ouvertes d'avance et tenues côté client : l'application les ouvre au démarrage et les distribue aux requêtes, au lieu de se connecter puis de se déconnecter à chaque appel.

Le port source que le noyau choisit pour une connexion sortante, pris dans la plage net.ipv4.ip_local_port_range — 32768 60999 sur Ubuntu 24.04.

Une entrée de la table des processus conservée pour un processus déjà sorti, le temps que son parent vienne lire son code de retour.

L'attente qui n'existe pas.

Le domaine nu lui-même, exemple.fr sans rien devant — le nom qui donne son nom à la zone.

Le répertoire que désigne la directive root d'un bloc serveur — /var/www/monsite — et la base à laquelle Nginx accole le chemin de la requête pour trouver un fichier.

Les deux façons dont une poignée de main TCP échoue, et elles n'accusent pas les mêmes suspects.

Trois copies des données, sur deux supports de nature différente, dont une hors site — et le décompte est la partie qui compte le moins.

Une release est un répertoire daté et complet sous releases/ — /var/www/exemple.fr/releases/2026-08-03T14-40-58 — écrit alors que personne ne le lit, puis mis en service en faisant pointer current dessus : ln -sfn, une seule opération, sans le moindre instant où current n'existe pas.

Un certificat Let's Encrypt vaut quatre-vingt-dix jours : en obtenir un ouvre une tâche récurrente, il n'en achève pas une.

Restaurer une vraie archive dans une cible jetable, puis compter ce qui est revenu.

La durée pendant laquelle vous gardez une archive avant de la supprimer.

Faire pointer current sur une release encore présente sur le disque, puis redémarrer le service : ln -sfn /var/www/exemple.fr/releases/2026-08-01T09-12-03 /var/www/exemple.fr/current, puis systemctl restart api-exemple.

Un serveur HTTP qui accepte lui-même la connexion du client, puis émet sa propre requête vers l'application placée derrière : proxy_pass http://127.0.0.1:3000 dans un bloc location de Nginx.

Dans un build Vite ou React, dist/ contient index.html, un dossier assets/ et rien d'autre.

Le serveur qui détient la zone elle-même et répond depuis le fichier, pas depuis sa mémoire.

Le signal 1.

Le signal 9, le seul qui ne soit pas un message : il n'est jamais remis au programme.

Le signal 15, celui que kill envoie quand vous n'en nommez aucun : kill 1841 et kill -15 1841 sont la même commande.

Un socket dont un processus a demandé au noyau qu'il y reçoive les nouvelles connexions : il figure dans la table des sockets à l'état LISTEN, lié à une adresse et un port — 127.0.0.1:5432, 0.0.0.0:80.

Le D de la colonne STAT de ps : le processus est à l'intérieur d'un appel système que le noyau n'interrompra pas, et cet appel attend presque toujours le stockage.

Le flux 2, le canal sur lequel un processus écrit ses diagnostics et ses échecs, distinct du flux 1, la sortie standard, qui transporte le résultat demandé.

Ce que produit Ctrl+Z : [2]+ Stopped dans le shell, l'état T dans ps.

Le nombre de secondes pendant lesquelles un résolveur peut conserver une réponse avant de la redemander.

Un fichier dont l'identifiant de propriétaire ne correspond à aucun compte de cette machine : ls -l n'a pas de nom à afficher et montre le numéro, -rw-r----- 1 998 998 config.php.

Tout ce que gère systemd : l'unité est l'objet, et .service n'est qu'un de ses onze types, aux côtés de .socket, .timer, .target, .mount, .slice, .scope, .device, .swap, .path et .automount.

L'étape où l'autorité de certification prouve que vous contrôlez le nom, en contactant ce nom.

Un volume que Docker crée de lui-même quand personne ne lui en nomme un : une ligne VOLUME /data dans le Dockerfile de l'image, ou un -v /app/uploads sans source.

Un en-tête de requête qui énumère les adresses par lesquelles la requête est passée, allongé par chaque relais : proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for reprend ce qui est arrivé et y ajoute $remote_addr, l'adresse du saut que Nginx a réellement vu.

L'en-tête qui indique à l'application le protocole employé par le client, puisque la requête que le proxy lui adresse est en HTTP simple sur 127.0.0.1:3000 : proxy_set_header X-Forwarded-Proto $scheme vaut https quand le navigateur est arrivé sur 443.

Une page d'erreur de Nginx : c'est Nginx qui l'a produite, pour dire que l'application derrière lui n'a pas rendu de réponse exploitable.