Changedetection sur GKE Autopilot

changedetection.io est un service auto-hébergé et open source qui surveille les modifications de pages web et envoie des notifications lorsqu'elles se produisent. Ce module déploie changedetection.io sur GKE Autopilot au-dessus du socle App_GKE, qui provisionne et gère l'infrastructure Google Cloud et Kubernetes partagée.

Ce guide se concentre sur les services cloud qu'utilise changedetection.io et sur la manière de les explorer et de les exploiter depuis la console Google Cloud et la ligne de commande. Pour les mécanismes communs à toute application GKE — Workload Identity, ingress, autoscaling, CI/CD, Cloud Armor, IAP, Binary Authorization, VPC Service Controls, sauvegardes et cycle de vie du déploiement — reportez-vous au guide du socle App_GKE plutôt que de les répéter ici.

1. Vue d'ensemble

changedetection.io s'exécute sous la forme d'une unique charge de travail web Python/Flask. Le déploiement assemble un ensemble volontairement restreint de services Google Cloud — il n'y a ni base de données ni cache :

Fonctionnalité	Service Google Cloud	Remarques
Calcul	GKE Autopilot	Pod Python/Flask, 1 vCPU / 1 GiB par défaut, écoute sur le port 5000
Base de données	Aucune	changedetection.io stocke tout son état sur disque, pas en SQL
Stockage persistant des données	Persistent Disk en mode bloc (PVC) ou Cloud Storage (GCS FUSE)	Monté sur `/datastore` ; un PVC en mode bloc via StatefulSet est fortement recommandé
Cache et file d'attente	Aucun	Redis n'est pas utilisé ; il est explicitement désactivé
Secrets	Secret Manager	Aucun secret applicatif n'est injecté ; le jeton de l'API REST est créé dans l'interface web
Entrée	Cloud Load Balancing	Service `ClusterIP` derrière un Ingress Kubernetes avec une IP statique réservée et un certificat géré (domaine personnalisé activé par défaut ; un hôte `nip.io` est utilisé lorsqu'aucun n'est défini)

Valeurs par défaut judicieuses à connaître d'emblée :

Pas de base de données, pas de Redis. changedetection.io est entièrement autonome. Il n'y a ni instance Cloud SQL, ni job db-init, ni étape de migration de schéma. Redis est désactivé (enable_redis = false) et enable_cloudsql_volume = false.
Le PVC en mode bloc est la valeur par défaut pour le stockage des données. changedetection.io écrit un magasin de données à base de fichiers (JSON des surveillances plus fichiers d'instantanés d'historique) qui fonctionne au mieux sur un volume bloc POSIX ; stateful_pvc_enabled = true est donc la valeur par défaut, ce qui monte un PVC en mode bloc de 20Gi (via un StatefulSet) sur /datastore. Cela désactive automatiquement le volume GCS FUSE sur le même chemin (enable_gcs_storage_volume = false) afin d'éviter un double montage.
GCS FUSE est la solution de repli. Avec stateful_pvc_enabled = false, le bucket GCS de données est monté sur /datastore via GCS FUSE. Cela fonctionne, mais convient moins bien qu'un PVC en mode bloc aux écritures à base de fichiers de l'application.
Un seul réplica par défaut. min_instance_count = 1 et max_instance_count = 1. L'ordonnanceur de récupération s'exécute dans le processus, sur un magasin de données unique ; exécuter plusieurs réplicas sur le même magasin expose à une corruption due à des écritures concurrentes. Conservez max_instance_count = 1.
Pas d'authentification par défaut. Le tableau de bord est livré sans connexion. Définissez immédiatement un mot de passe dans Settings → General, et/ou placez la charge de travail derrière IAP.
BASE_URL n'est pas défini automatiquement sur GKE. Définissez BASE_URL (l'hôte des liens de notification) sur l'URL externe du LoadBalancer ou du domaine personnalisé via environment_variables, une fois l'IP externe connue.
Épinglage de version. Avec application_version = "latest", le build de l'image épingle un tag réputé fiable (0.50.19) via l'argument de build propre à l'application CHANGEDETECTION_VERSION.

2. Services Google Cloud et comment les explorer

Toutes les commandes supposent que vous avez exécuté gcloud container clusters get-credentials <cluster> --region <region> --project <project> et que PROJECT, REGION et NAMESPACE sont définis. L'espace de noms et les autres identifiants figurent dans les sorties du déploiement.

A. GKE Autopilot — la charge de travail changedetection.io

Les pods changedetection.io sont planifiés sur Autopilot, qui facture le CPU et la mémoire réellement demandés par les pods. Comme stateful_pvc_enabled = true par défaut, workload_type se résout automatiquement en StatefulSet avec un PVC par pod ; définissez stateful_pvc_enabled = false pour obtenir à la place un Deployment avec un volume GCS FUSE.

Console : Kubernetes Engine → Workloads → sélectionnez la charge de travail changedetection pour voir les pods et les événements. Kubernetes Engine → Services & Ingress affiche l'IP externe.

CLI :

kubectl get pods,svc -n "$NAMESPACE"
kubectl get statefulset,pvc -n "$NAMESPACE"          # when stateful_pvc_enabled = true
kubectl logs -n "$NAMESPACE" <pod-name> --tail=100

Consultez App_GKE pour la gestion d'Autopilot, de la mise à l'échelle et du type de charge de travail (Deployment ou StatefulSet).

B. Base de données — non utilisée

changedetection.io n'utilise aucune base de données SQL. database_type = NONE est fixé par Changedetection_Common ; aucune instance Cloud SQL n'est créée et il n'existe aucun job d'initialisation db-init. Les entrées db_name/db_user n'existent que pour la compatibilité avec le socle et ne provisionnent rien. Tout l'état persistant réside dans le volume de données décrit ci-dessous.

C. Stockage persistant des données (PVC ou Cloud Storage)

Toute la configuration des surveillances, les instantanés de pages et l'historique des modifications se trouvent sous /datastore.

PVC en mode bloc (par défaut). Avec stateful_pvc_enabled = true (la valeur par défaut), un StatefulSet monte un Persistent Disk en mode bloc de 20Gi sur stateful_pvc_mount_path (/datastore).
```
kubectl get pvc -n "$NAMESPACE"
kubectl describe pvc -n "$NAMESPACE" <pvc-name>
```
GCS FUSE (solution de repli). Avec stateful_pvc_enabled = false, le bucket GCS de données est monté sur /datastore via le pilote CSI GCS FUSE.
```
gcloud storage buckets list --project "$PROJECT" --filter="name~storage"
gcloud storage ls gs://<data-bucket>/
```

Consultez App_GKE pour les PVC de StatefulSet, les options CMEK et les montages GCS FUSE.

D. Cache et file d'attente — non utilisés

changedetection.io n'utilise ni Redis ni aucune file d'attente externe ; son ordonnanceur de surveillances s'exécute dans le processus. enable_redis = false est défini explicitement (ce qui remplace la valeur par défaut true d'App_GKE) et aucune entrée Redis n'est raccordée.

E. Secret Manager

Aucun secret applicatif n'est injecté dans le pod — le jeton facultatif de l'API REST est généré dans l'interface web (Settings → API), et le magasin de données n'utilise aucune clé de chiffrement. Secret Manager reste disponible pour toute variable secret_environment_variables fournie par l'opérateur.

Console : Security → Secret Manager.

CLI :

gcloud secrets list --project "$PROJECT"
gcloud secrets versions access latest --secret=<secret-name> --project "$PROJECT"

Consultez App_GKE pour l'intégration Secret Store CSI et la rotation.

F. Réseau et entrée

Par défaut, le Service Kubernetes est de type ClusterIP (service_type = ClusterIP) et la charge de travail est exposée via un Ingress Kubernetes avec une IP statique réservée et un certificat géré par Google (enable_custom_domain = true, reserve_static_ip = true). Lorsqu'aucun application_domains n'est défini, un nom d'hôte nip.io dérivé de l'IP réservée est utilisé, de sorte que HTTPS fonctionne d'emblée.

Console : Network services → Load balancing ; VPC network → IP addresses.

CLI :

kubectl get ingress,svc -n "$NAMESPACE"
gcloud compute addresses list --project "$PROJECT"

Consultez App_GKE pour les domaines personnalisés, Cloud CDN et les détails de l'IP statique.

G. Cloud Logging et Monitoring

Les sorties stdout/stderr des pods sont envoyées vers Cloud Logging ; les métriques GKE vers Cloud Monitoring. Des tests de disponibilité et des règles d'alerte facultatifs sont disponibles.

Console : Logging → Logs Explorer ; Monitoring → Dashboards / Alerting.

CLI :

gcloud logging read 'resource.type="k8s_container" AND resource.labels.namespace_name="'"$NAMESPACE"'"' \
  --project "$PROJECT" --limit 50

3. Comportement de l'application changedetection.io

Aucune configuration de base de données au premier déploiement. Il n'y a ni base de données ni job d'initialisation. Au premier démarrage, changedetection.io crée ses fichiers de données (url-watches.json et des répertoires d'historique par surveillance) sous /datastore s'ils n'existent pas déjà.
Aucune migration de schéma. Les mises à niveau du format des données sont gérées en interne par l'application au démarrage ; il n'y a aucune étape de migration distincte à exécuter.
Le volume de données est le seul élément avec état. Tout ce que l'application mémorise — surveillances, instantanés, historique des différences, configuration des notifications et éventuel mot de passe de l'interface — réside sur le volume /datastore (PVC en mode bloc ou bucket GCS). Supprimer le PVC ou le bucket efface tout l'état.
Pas d'authentification par défaut. Le tableau de bord est livré ouvert. Définissez un mot de passe sous Settings → General → Password immédiatement après le premier accès, et/ou activez IAP devant la charge de travail. Il n'existe ni compte administrateur ni identifiant par défaut.
Le jeton de l'API REST est créé dans l'interface. Pour utiliser l'API REST, générez un jeton sous Settings → API et transmettez-le dans l'en-tête x-api-key. Il n'est pas injecté via une variable d'environnement.
Définissez BASE_URL une fois l'IP externe connue. Contrairement à la variante Cloud Run, le wrapper GKE n'injecte pas de BASE_URL exploitable. Définissez-le sur l'URL externe afin que le corps des notifications contienne des liens fonctionnels :
```
kubectl set env -n "$NAMESPACE" statefulset/<name> \
  BASE_URL=https://changedetection.example.com
```
Ou définissez environment_variables = { BASE_URL = "https://…" } dans la configuration du module.
Chemin de santé. Les sondes de démarrage et de vivacité ciblent / — l'interface web, qui renvoie HTTP 200 dès que le serveur Flask est prêt. Le premier démarrage est rapide (pas de migrations) ; la sonde de démarrage par défaut accorde un délai initial de 15 secondes plus une fenêtre de 10 tentatives.
Contrainte de mise à l'échelle. Conservez max_instance_count = 1. Plusieurs réplicas partageraient le même magasin de données et entreraient en concurrence lors des écritures ; l'application ne dispose d'aucune coordination distribuée.

Inspecter l'environnement en cours d'exécution :

kubectl exec -n "$NAMESPACE" <pod-name> -- env | grep -E 'DATASTORE_PATH|BASE_URL'

4. Variables de configuration

Les variables sont regroupées exactement comme elles apparaissent sur la plateforme de déploiement. Seuls les paramètres propres à changedetection.io ou importants pour celui-ci sont listés ; toutes les autres entrées sont héritées d'App_GKE avec leur comportement et leurs valeurs par défaut standard.