Etat reel de la resilience : trois SPOF nommes, dont un cloud

Le depot git est deja sur le second Synology. Aucune sauvegarde HA
n existe. La cle de chiffrement n8n tient dans 56 octets sans copie.
Et le contacteur EDF est un Tuya CLOUD : couper le reseau depend
d internet, sur un site ou l orage emporte la connexion.

Le GX Venus (10.10.10.9) est en revanche une troisieme machine avec son
propre broker MQTT : consigne reseau, DVCC et arret de borne y sont
atteignables sans HA ni cloud. C est le socle d un chien de garde.

Meteo-France est installee : la reserve d orage tourne deja.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01KKzkkVTG6KXnGXFFC7X9XJ

HANDOFF.md

@@ -2122,3 +2122,64 @@ de 20 s avec la batterie à −1,6 A. À traiter séparément si un cas se prés
 
 ---
 *Document mis à jour le : 01/09/2026 (~02:15) — consigne de puissance réseau pilotée par le contrôleur, golden 56/56, charge HC vérifiée en réel*
+
+## 32. Session du 01/09/2026 (nuit) — État réel de la résilience, faits vérifiés
+
+Relevés avant toute proposition de secours (second Synology 10.10.10.22).
+
+### Ce qui est déjà hors du NAS principal
+`/mnt/projects` est monté depuis **10.10.10.22** : le dépôt git (src/nodes,
+golden, tools, docs) ne dépend donc PAS de 10.10.10.17. Gitea vit sur la même
+machine. La moitié du travail de résilience est faite sans qu'on l'ait cherché.
+`/mnt/ARCH3/docker` (HA + n8n) est sur **10.10.10.17** uniquement, non répliqué.
+
+### Aucune sauvegarde Home Assistant n'existe
+Pas de dossier `backups/` dans `/mnt/ARCH3/docker/HA` (vérifié : seuls `SAVE/`
+et `SAVE_CONFIG/`, créés à la main lors de nos sessions). La sauvegarde intégrée
+de HA n'a jamais produit d'archive ici.
+
+### ⚠️ La clé de chiffrement n8n tient dans 56 octets et n'a aucune copie
+`N8N_ENCRYPTION_KEY` est **absent de `compose.yaml`** : n8n l'a générée au
+premier démarrage et elle vit uniquement dans `/mnt/ARCH3/docker/n8n/data/config`
+(56 octets, `encryptionKey`, 06/02/2026). Sans ce fichier, une copie parfaite de
+`database.sqlite` (1,69 Go) ne redonne **aucun credential** — OpenRouter compris.
+C'est l'objet le plus fragile de toute l'installation.
+
+### Volumétrie, et c'est elle qui commande la stratégie
+| | taille | nature |
+|---|---:|---|
+| `.storage` + `packages` + `dashboards` + yaml | **~6 Mo** | identité : entités, helpers, cartes |
+| `custom_components` | 52 Mo | réinstallable (HACS), versions à figer |
+| `home-assistant_v2.db` | 4,39 Go | historique |
+| `n8n/data/database.sqlite` | 1,69 Go | workflows (déjà en git) + credentials |
+
+Les deux bases sont en **mode WAL** (`-wal`/`-shm` présents) : un `cp` à chaud
+sur NFS produit une sauvegarde corrompue **en silence**. Il faut
+`sqlite3 .backup` / `VACUUM INTO`, ou conteneur arrêté.
+
+### ⚠️ Le contacteur EDF est un Tuya CLOUD — SPOF distinct du NAS
+`switch.edf_general_ok_switch` : `platform: tuya`,
+`unique_id: tuya.bf3d7928e069594e5fzfi9switch` (intégration `tuya`, projet
+cloud `gg-1060...`, pas `localtuya`). Ouvrir ou fermer le réseau **passe donc
+par internet**. Or les coupures d'orage de ce site emportent souvent la
+connexion : le contacteur peut devenir incommandable exactement quand il faut
+agir, et le tableau « EDF Urgence » avec lui.
+
+### En revanche, le GX est une troisième machine, indépendante des deux NAS
+Intégration `victron_gx` = **Venus OS `c0619ab34ac5` sur 10.10.10.9:1883**, et
+le broker MQTT est sur cette même adresse. Consigne de puissance réseau, DVCC,
+courant EVCS, arrêt de la borne, SOC, PV, états MPPT : tout est lisible et
+écrivable **en MQTT local, sans HA et sans cloud**. C'est là-dessus qu'un chien
+de garde doit s'appuyer — pas sur HA, et surtout pas sur Tuya.
+
+### Backlog levé sans qu'on le remarque : Météo-France est installée
+`meteo_france` — Pleumeur-Bodou, Bretagne (22).
+`sensor.meteo_france_alert_for_department_22_22_weather_alert` = `Vert`, et la
+réserve d'orage (§26) tourne : `storm_level` vert, réserve **4,95 kWh**
+(SOC 55 %), manque 0,9 kWh au SOC actuel de 49 %. L'action utilisateur en
+attente depuis le 27/08 est donc caduque.
+
+### Risque nouveau introduit le 01/09
+Le contrôleur écrit maintenant la consigne réseau (§31). S'il s'arrête en pleine
+session, elle reste haute et la substitution de journée revient. Ce risque
+n'existait pas avant cette nuit : il justifie à lui seul un chien de garde.