YGGDRASIL

Débuter

Yggdrasil, c'est Debian 13 — stable, libre, immense logithèque — avec un bureau KDE Plasma prêt à l'emploi en français et une famille d'outils maison. Leur règle commune : rien d'important ne s'exécute sans ta validation. Chaque outil affiche ce qu'il va faire, puis demande.

Toutes les commandes acceptent --help, -n (simulation : rien n'est modifié) et -y (valider automatiquement). La touche Tab complète les commandes et les noms.

ygg — le gestionnaire système

ygg seul, dans un terminal, ouvre un menu des gestes courants. Raccourcis : ygg ai = mimir, ygg fw = heimdall, ygg snap = norns, ygg stack = bifrost, ygg new = brokkr, ygg notify = ratatoskr. Les commandes ont aussi leur nom anglais (repair, undo, share, remote…).

Les neuf mondes

Les royaumes sont les neuf mondes de l'arbre, chacun avec sa rune. Chaque monde est un ensemble de logiciels à la carte : ygg realm show nom montre ce qui est coché par défaut (●) et ce qui est en option (○) ; un royaume configure aussi la machine quand il le faut (clé SSH, groupes, bibliothèques 32 bits). ygg realm remove nom ne retire que ce que le royaume avait lui-même ajouté.

À la première session d'un système installé, l'assistant « Bienvenue, voyageur » pose ces questions en cinq étapes (prénom, voyageur, mondes, gardiens), puis plante l'arbre dans un terminal visible. On le relance avec yggdrasil-welcome --accueil.

Mímir — l'oracle qui reste chez toi

Dans le mythe, Mímir garde le puits de la sagesse sous une racine de l'arbre-monde ; Odin y donna un œil pour boire. Ici, il te répond d'abord par une phrase d'oracle, puis avec exactitude. Il utilise Ollama : le modèle tourne sur ta machine, aucune donnée ne part en ligne. mimir install installe Ollama et choisit un modèle adapté à ta mémoire vive (qwen3 8B à partir de 16 Go, 4B à partir de 8 Go, 1.7B sinon).

mimir chat                         # consulter le puits (Meta+M ; /aide pour les commandes)
mimir ask "comment monter un disque NTFS ?"
journalctl -b -p err | mimir ask "explique ces erreurs"
mimir pourquoi                     # la dernière commande qui a échoué dans ton terminal, expliquée
mimir runes                        # les erreurs du jour dans les journaux du système
mimir presage                      # l'état réel de ta machine en une phrase (aussi au 1er terminal du jour)
mimir guide "mon wifi se coupe"    # résolution pas à pas, chaque commande validée par toi
mimir selection                    # explique le texte sélectionné à l'écran (Meta+Alt+M)
mimir explain "find . -name '*.log' -mtime +7 -delete"
mimir suggest "trouver les 10 plus gros fichiers de mon dossier"
mimir profil --prenom Astrid       # ce que Mímir sait de toi : lisible, modifiable, effaçable
mimir puits remplir --coffre ~/Documents/Obsidian   # ce qu'il peut consulter (et citer)

Trois tons : oracle (par défaut), skalde (franchement poétique) et sobre (rien que les faits) — mimir --ton sobre, ou ton = "sobre" dans la section [mimir] de ~/.config/yggdrasil/config.toml. Les autres outils ont aussi leur voix (Heimdall le guetteur, les Nornes, Ratatoskr l'écureuil, Brokkr le forgeron) ; ton = "sobre" dans [general] coupe tout le décor.

Le programme décide, pas le modèle. Avant d'exécuter une commande proposée, Mímir évalue son risque : une commande destructrice (formatage, rm -rf /, script téléchargé puis exécuté…) exige que tu tapes « je comprends le risque ». Les journaux, sorties de commandes, extraits du puits et notes du profil sont transmis au modèle comme des données, jamais comme des consignes. Le puits ne se remplit que si tu le demandes (mimir puits vider efface tout). Les conversations sont enregistrées en Markdown dans ~/Documents/Mimir, que tu peux ouvrir comme coffre Obsidian.

Heimdall — le pare-feu

Actif dès l'installation : tout ce qui entre est bloqué, sauf les réponses à tes propres connexions, le ping et la découverte réseau (mDNS).

heimdall status
heimdall ports                       # qui écoute ? est-ce exposé ?
heimdall allow minecraft --from lan  # réseau local seulement
heimdall allow 8080/tcp
heimdall deny minecraft
heimdall profile server              # ouvre SSH ; « strict » ferme aussi ping et mDNS
heimdall guard ssh                   # fail2ban contre la force brute
heimdall log -f                      # voir les connexions refusées
heimdall zone                        # le réseau du moment : maison ou public
heimdall zone maison                 # ce Wi-Fi est de confiance
heimdall fete terraria --heures 3    # LAN party : ports de jeu ouverts au réseau local, puis refermés
heimdall voisins --scan              # qui est sur mon réseau ? (nom, fabricant)
heimdall sortant                     # contrôler les connexions sortantes (OpenSnitch)

Le pare-feu suit le réseau. Chez toi (zone maison), tes ouvertures s'appliquent ; sur un Wi-Fi inconnu, Heimdall bascule tout seul en zone public : rien n'entre, ni ping, ni découverte. Un câble Ethernet inconnu est considéré comme la maison.

Gjallarhorn, le cor de Heimdall, fait une ronde toutes les 10 minutes et sonne (par Ratatoskr) quand un nouveau service se met à l'écoute, quand quelqu'un s'acharne sur SSH, quand un appareil inconnu rejoint le réseau local ou quand un disque annonce une défaillance.

Heimdall gère sa propre table nftables et ne touche pas aux règles de Docker ou de libvirt. Les ports publiés par Docker contournent la chaîne d'entrée : c'est pourquoi Bifröst les lie à 127.0.0.1 sauf si tu choisis de les exposer.

Norns — instantanés et sauvegardes

Les Nornes tissent passé, présent et avenir. Deux protections complémentaires :

• Instantanés système (Timeshift) : norns setup une fois, puis ils sont automatiques, et ygg update en crée un avant chaque mise à jour. norns restore revient en arrière (depuis la clé live si le système ne démarre plus).
• Sauvegardes du dossier personnel : norns backup --to /media/toi/Disque. Chaque sauvegarde est un dossier complet et navigable ; les fichiers inchangés sont partagés (liens durs), donc ne prennent pas de place en plus. norns recover Documents/rapport.odt récupère un fichier à côté de l'original.

Les trois Nornes ont chacune leur commande :

norns disque                          # sauvegarder dès que ce disque est branché (une fois par jour)
norns distant init sftp:moi@nas:/sauvegardes   # copie chiffrée hors de chez toi (restic)
norns distant sauvegarder | liste | restaurer Documents
norns verifier                        # relire des fichiers sauvegardés : la restauration marchera-t-elle ?

Le mot de passe de la copie distante est dans ~/.config/yggdrasil/norns-distant.motdepasse : garde-en une copie ailleurs, sans lui personne ne peut relire la sauvegarde.

Bifröst — tes services en une commande

Prérequis : ygg realm add jotunheim --seulement docker, puis reconnecte-toi. Rien n'est installé d'avance : chaque service arrive avec sa commande, n'écoute que sur ta machine par défaut, et ne s'ouvre au réseau local que si tu le demandes.

Minecraft, dans toutes ses saveurs. Vanilla, Paper, Spigot, Purpur, Folia, Forge, NeoForge, Fabric ou Quilt ; ou un modpack Modrinth ou CurseForge. Les mods et plugins viennent de Modrinth, dans la version compatible choisie automatiquement. Le monde est sauvegardé chaque jour sans couper le serveur.

bifrost up minecraft --nom survie --type fabric --version 1.21.4 --memoire 6G --mods lithium,sodium
bifrost up minecraft --nom pack --modpack modrinth:cobblemon-fabric
bifrost up minecraft --nom bedrock --type paper --bedrock --carte    # joueurs Bedrock (Geyser), carte BlueMap
bifrost commande survie "whitelist add Astrid"
bifrost mods survie ajouter terralith
bifrost sauvegarder survie                 # à chaud : save-off, copie, save-on
bifrost redemarrage survie 04:00           # chaque nuit
bifrost discord survie https://discord.com/api/webhooks/…   # démarrages, arrivées, plantages
bifrost up minecraft-proxy --nom hub && bifrost reseau hub survie pack   # une adresse, plusieurs mondes
bifrost deploy ~/Projets/mon-bot           # héberger un projet Brokkr (relancé s'il plante)
bifrost logs survie -f   |   bifrost remove survie --purge

Chaque service vit dans ~/bifrost/nom : compose.yml (modifiable), .env (tes réglages, mots de passe générés) et les données.

Brokkr — la forge à projets

brokkr                                  # l'assistant : quelques questions, le projet sur mesure
brokkr new discord-bot MonBot --modules moderation,niveaux,musique
brokkr new discord-bot MonBot --idee "un bot qui gère les tickets et les concours"   # Mímir choisit
brokkr new python-app Outil --variante gui
brokkr add docker | ci | tests | module tickets
brokkr deploy                           # Bifröst l'héberge
brokkr package                          # un .deb (avec lanceur pour les applications Qt)
brokkr github                           # le dépôt GitHub, avec ta validation
brokkr save MonModele                   # ton projet devient un modèle

Ratatoskr — le messager

À l'ouverture de session puis toutes les 6 heures, Ratatoskr rassemble les nouvelles : mises à jour en attente, problèmes graves, et les alertes des autres gardiens (Gjallarhorn, les Nornes, Bifröst). Sa notification a des boutons — Mettre à jour, Demander à Mímir, Plus tard — et il ne te dérange jamais pendant une partie (GameMode), un enregistrement ou un direct (OBS), ni en mode « ne pas déranger » : il repasse plus tard. Après l'installation, il envoie un bilan de la machine. Il ne modifie jamais rien.

ratatoskr check --print       # ce qu'il dirait maintenant
ratatoskr telephone ntfy      # prévenir aussi ton téléphone (canal privé ntfy, QR code)
ratatoskr telephone non
ratatoskr disable

Huginn, Muninn et Gleipnir

Draupnir — la graine de ta machine

L'anneau d'Odin en fait naître huit autres. Draupnir emporte ta machine dans un seul fichier, une graine, que tu replantes sur un autre ordinateur ou après une réinstallation :

• tes royaumes et les logiciels que tu y as choisis, les paquets Debian et les applications Flatpak que tu as ajoutés ;
• tes réglages Yggdrasil, ceux du bureau (Plasma, Konsole, Dolphin, git), tes royaumes personnels et tes modèles Brokkr ;
• les règles de Heimdall et la configuration de tes services Bifröst — pas leurs données (un monde Minecraft se sauvegarde avec bifrost sauvegarder).

draupnir                              # ce que la graine emporterait
draupnir graine --chiffrer            # la forger (phrase de passe demandée)
draupnir lire graine-yggdrasil-2026-10-02.tar.gz.gpg
draupnir planter graine-yggdrasil-2026-10-02.tar.gz.gpg     # sur la nouvelle machine

Sans --chiffrer, les mots de passe restent dehors : ceux des services sont régénérés à la plantation. Tes clés SSH n'y entrent qu'avec --chiffrer --secrets. Les fichiers que la graine remplacerait sont gardés à côté (.avant-draupnir).

Skíðblaðnir — Yggdrasil dans la poche

Le navire de Freyr se replie dans une poche. Skíðblaðnir écrit Yggdrasil sur une clé USB avec un espace persistant : ce que tu installes et enregistres reste d'un démarrage à l'autre.

skidbladnir                                        # les clés branchées
skidbladnir ecrire sdb                             # la session live en cours, toute la place en persistance
skidbladnir ecrire sdb yggdrasil.iso --persistance 16G --chiffrer

Au démarrage sur la clé, choisis « Yggdrasil — clé persistante » (avec --chiffrer, la phrase de passe est demandée). Tout ce que contenait la clé est effacé : Skíðblaðnir demande de taper son nom avant d'écrire, et refuse de toucher un disque qui n'est pas amovible ou qui porte le système.

Installer, éditions et mises à jour

Revenir à un instantané depuis le menu de démarrage. Sur btrfs, chaque instantané des Nornes (norns snap, et ceux de chaque ygg update) apparaît dans le sous-menu « Yggdrasil — revenir à un instantané » : tu démarres le système tel qu'il était, pour vérifier. Le terminal, norns status et ygg doctor rappellent alors sur quel instantané tu es, et norns restore <nom> l'adopte pour de bon ; sinon, un redémarrage normal retrouve le système habituel. Le menu lui-même est en français : Yggdrasil complète le catalogue de GRUB, qui laissait ses entrées en anglais.

Pilotes. ygg doctor (et la page Santé du Centre, bouton Faire) signale un pilote NVIDIA ou un micrologiciel manquant ; ygg pilotes installer s'en charge.

Mises à jour. ygg update met à jour Debian et les outils de l'arbre, venus du dépôt APT d'Yggdrasil. Ce dépôt est signé : APT refuse tout paquet que la clé d'Yggdrasil (/usr/share/keyrings/yggdrasil-archive-keyring.gpg) n'a pas signé.

Questions fréquentes

Puis-je utiliser apt directement ? Bien sûr : Yggdrasil est une Debian. Les outils ne font qu'automatiser et sécuriser ce que tu ferais à la main.

Le démarrage sécurisé (Secure Boot) fonctionne-t-il ? Oui : Yggdrasil utilise le chargeur signé de Debian (l'entrée de démarrage UEFI s'appelle donc « debian »).

Où sont les réglages ? /etc/yggdrasil/yggdrasil.toml pour la machine, ~/.config/yggdrasil/config.toml pour toi.

Comment revenir au bash Debian d'origine ? Supprime la première ligne de ~/.bash_aliases.