Note · septembre 2026
Deux origines pour un nom de domaine
Une page HTML n'a pas à vivre sur la même machine que le laboratoire qui l'a rendue possible. Ce texte raconte pourquoi, après un lab derrière OPNsense, un serveur web local et un tunnel, l'enseigne publique a changé d'origine.
D'abord le lab, pas la vitrine
Avant d'avoir un nom qui répond sur Internet, il y a eu un travail de fond : un pare-feu OPNsense, une segmentation réseau, des règles écrites et relues, une machine dédiée qui sert des fichiers web. Rien de tout cela n'était destiné à « paraître ». C'était destiné à tenir : défaut deny, pas de port ouvert à la légère, des services qu'on allume parce qu'on les a compris, pas parce qu'un tutoriel l'exigeait le matin même.
Le serveur web local a été validé comme on valide un socle : il répond, il isole les sites par nom, il passe par un WAF, il ne s'offre pas tout seul au WAN. Ensuite seulement est venue l'exposition. Pas un transfert de port 80/443 sur la box. Un tunnel Cloudflare : le monde parle à Cloudflare, Cloudflare parle à la machine, la machine n'ouvre pas la rue.
Ça marche. Ça a aussi un prix. Tout ce qui passe dans ce tuyau dépend de la tour. Entretien, coupure, incident réseau, processus tunnel qui lâche : les noms qui vivent là tombent ensemble. Je l'ai vu. J'en ai tiré des fiches, pas un spectacle. Le détail opérationnel reste dans le journal privé. Le principe, lui, se dit ici : une enseigne statique n'a pas à payer la disponibilité de l'atelier.
Ce qu'une vitrine est — et ce qu'elle n'est pas
Une vitrine de présentation, aujourd'hui, c'est du HTML, du CSS, éventuellement du JavaScript exécuté dans le navigateur. Des fichiers. Pas une base de paiement, pas un tableau de bord, pas un accès d'administration. Si le besoin grandit vers de l'exécution côté serveur, d'autres outils existent. Ce n'est pas le contrat de cette page-ci.
Le site public Horus AIS est une première version. Je le dis sans détour : ce n'est pas une plaquette d'agence bouclée, ce n'est pas un catalogue de prestations à prendre pour argent comptant. C'est une porte. Elle dit qu'un nom existe, qu'une pratique existe, que le travail se documente. Le reste se construira. Ce texte n'est pas là pour vendre l'accueil. Il est là pour fixer un choix d'architecture.
Deux origines, deux destins
Une fois le lab validé et le tunnel éprouvé, la question n'était plus « comment faire voir un fichier ». Elle était : où doit vivre le nom de la société ?
L'atelier reste derrière le pare-feu et le tunnel. Pages de travail, noms de lab, ce qui a le droit de tomber quand la machine s'éteint.
L'enseigne sort de Cloudflare Pages : un dépôt Git de fichiers statiques, servi au bord du réseau. Si l'atelier s'arrête, l'enseigne ne s'arrête pas avec.
Ce n'est pas une défiance envers le lab. C'est l'inverse. Le lab a assez à faire. On ne lui demande plus d'être aussi la devanture.
Pages, Workers : même menu, deux contrats
Sur le tableau de bord Cloudflare, Pages et Workers partagent une entrée. Il faut lire les étiquettes.
Pages prend un dépôt, y lit des fichiers, les sert. HTML, CSS, JavaScript de navigateur. Pas de compilation obligatoire. Un site « qui bouge » côté client a sa place ici. Le preset « None », une commande de build vide ou exit 0, le répertoire de sortie à la racine : c'est le contrat statique.
Workers, avec Wrangler, c'est l'exécution. Du JavaScript qui tourne chez Cloudflare, pas seulement dans le navigateur. Utile le jour où l'on a vraiment quelque chose à calculer au bord. Ce n'est pas le bon écran pour déposer un dossier de pages. Si le formulaire propose npx wrangler deploy et un jeton d'API, on n'est plus en train de publier une vitrine statique. On revient, on prend l'onglet Pages.
Les deux produits se respectent. On ne les oppose pas. On les choisit.
Le geste, dans l'ordre
- Un dépôt Git dont la branche principale contient les fichiers du site.
- Cloudflare → Workers & Pages → Create application → onglet Pages → import du dépôt.
- Framework None. Build : vide ou
exit 0. Output :/. - Déploiement. Une adresse technique apparaît :
projet.pages.dev. C'est le chantier. On vérifie qu'elle sert bien les fichiers. - Custom domain : d'abord le
www. On prouve quewwwrépond comme le chantier. Ensuite seulement le domaine nu (l'apex). - Les enregistrements mail (MX) ne se touchent pas. Un nom de domaine porte à la fois un site et une messagerie. Ce n'est pas le même sujet.
- Quand l'enseigne répond depuis Pages, on retire ces noms du tunnel. L'atelier garde les siens.
Un git push sur la branche principale republie. Pas de bouton à cliquer à chaque virgule. C'est le minimum d'hygiène pour une vitrine qu'on veut pouvoir corriger sans rallumer une tour.
Ce que « custom domain » veut dire
pages.dev est l'adresse que Cloudflare donne au projet. Personne n'a à la retenir. Le custom domain accroche notre nom à ce projet. Le navigateur affiche www… ou le domaine nu. Ce n'est pas une redirection « allez voir pages.dev ». C'est le même contenu, sous le nom qu'on a choisi.
On ne bascule pas www et l'apex dans le même geste. Un nom, on prouve, l'autre ensuite. La prudence n'est pas du folklore : le domaine nu porte aussi le courrier.
Ce que cette note n'est pas
Ce n'est pas le journal de l'infra. Les adresses internes, les incidents nommés, les recettes de durcissement restent hors de cette page. Ce n'est pas une offre commerciale. Ce n'est pas une invitation à juger l'accueil comme s'il était clos.
C'est le récit d'un passage : d'un serveur de fichiers validé en local à une enseigne qui n'a plus besoin de cette machine pour exister. L'atelier continue. Il a juste cessé d'être la seule porte.