FreshRSS sur Google Cloud Run

FreshRSS est un agrégateur de flux RSS et Atom gratuit, auto-hébergé et sous licence GPL-3.0 — un « lecteur d'actualités » léger et multi-utilisateur écrit en PHP, qui s'exécute derrière Apache et expose les API Google Reader et Fever pour les clients mobiles. Ce module déploie FreshRSS sur Cloud Run v2 en s'appuyant sur le socle App_CloudRun, qui provisionne et gère l'infrastructure Google Cloud partagée.

Ce guide se concentre sur les services cloud utilisés par FreshRSS et sur la manière de les explorer et de les exploiter depuis la console Google Cloud et la ligne de commande. Pour les mécanismes communs à toutes les applications Cloud Run — identité du service, entrée et équilibrage de charge, mise à l'échelle et concurrence, CI/CD, Cloud Armor, IAP, Binary Authorization, VPC Service Controls, sauvegardes et cycle de vie du déploiement — reportez-vous au guide du socle App_CloudRun plutôt que de les répéter ici.

1. Vue d'ensemble

FreshRSS s'exécute comme un conteneur PHP/Apache sur Cloud Run v2. Le déploiement assemble un ensemble ciblé de services Google Cloud :

Fonctionnalité	Service Google Cloud	Remarques
Calcul	Cloud Run v2	Service PHP/Apache sur le port 80, 1 vCPU / 2 GiB par défaut, mise à l'échelle automatique serverless ; mise à l'échelle à zéro activée
Base de données	Cloud SQL for PostgreSQL 15	Obligatoire — le point d'entrée effectue l'installation avec `--db-type pgsql`
Stockage persistant	NFS (Filestore / autogéré)	Monté sur `/var/www/FreshRSS/data` ; contient la configuration, l'état par utilisateur et le cache des flux. Aucun bucket GCS
Cache	Redis (facultatif)	Désactivé par défaut ; FreshRSS n'en a pas besoin
Secrets	Secret Manager	`FRESHRSS_ADMIN_PASSWORD` généré automatiquement ; mot de passe de la base de données
Entrée	URL Cloud Run / Cloud Load Balancing	URL `run.app` par défaut ; équilibreur de charge HTTPS externe et domaine personnalisé facultatifs

Valeurs par défaut judicieuses à connaître d'emblée :

PostgreSQL 15 est le moteur pris en charge. Le point d'entrée du conteneur code en dur --db-type pgsql et le job db-init ne prend en charge que Postgres ; le schéma est créé par l'installateur de FreshRSS lui-même au premier démarrage.
NFS est activé par défaut (enable_nfs = true) et monté sur /var/www/FreshRSS/data. FreshRSS y écrit sa configuration générée (data/config.php), l'état par utilisateur, les articles mis en cache et les favicons — sans volume persistant, cet état est perdu à chaque démarrage à froid ou redéploiement.
FRESHRSS_ADMIN_PASSWORD est généré automatiquement et stocké dans Secret Manager. Il initialise le compte admin par défaut (ainsi que son mot de passe d'API pour les clients mobiles) lors de la première installation.
La mise à l'échelle à zéro est activée par défaut (min_instance_count = 0, max_instance_count = 1). Les démarrages à froid ajoutent quelques secondes de latence à la première requête après une période d'inactivité.
L'actualisation des flux s'exécute via un cron dans le conteneur (CRON_MIN = */15). Tant que le service est mis à l'échelle à zéro, ce cron ne se déclenche pas — consultez le tableau des pièges.
max_instance_count = 1. Une seule instance détient le cron d'actualisation du conteneur et l'état de session/cache stocké sur fichiers ; exécuter plusieurs instances sans précaution duplique les actualisations de flux.
Le conteneur écoute sur le port 80 (Apache), et non 8080.
BASE_URL est défini à partir de l'URL de service prévue au moment du plan et corrigé à l'exécution à partir de CLOUDRUN_SERVICE_URL, afin que les liens autoréférents de FreshRSS et la redirection / → configuration pointent vers le véritable hôte Cloud Run.

2. Services Google Cloud et comment les explorer

Toutes les commandes supposent que PROJECT et REGION sont définis. Les noms des services et des ressources sont indiqués dans les sorties du déploiement.

A. Cloud Run — le service FreshRSS

FreshRSS s'exécute comme un service Cloud Run v2 qui se met automatiquement à l'échelle selon la charge des requêtes, entre le nombre minimal et le nombre maximal d'instances. Chaque déploiement crée une révision immuable ; le trafic peut être réparti entre les révisions pour des déploiements progressifs sûrs.

Console : Cloud Run → sélectionnez le service pour consulter les révisions, le trafic, les journaux et les métriques.

CLI :

gcloud run services list --project "$PROJECT" --region "$REGION" \
  --filter="metadata.name~freshrss"
gcloud run services describe <service-name> --project "$PROJECT" --region "$REGION"
gcloud run revisions list --service <service-name> --project "$PROJECT" --region "$REGION"

Consultez App_CloudRun pour la mise à l'échelle, la concurrence, l'environnement d'exécution et la répartition du trafic.

B. Cloud SQL for PostgreSQL 15

FreshRSS stocke toutes les données de l'application (flux, abonnements, articles, catégories, utilisateurs) dans une instance gérée Cloud SQL for PostgreSQL 15. Le service s'y connecte de manière privée via le Cloud SQL Auth Proxy sur un socket Unix ; aucune adresse IP publique n'est exposée. Lors du premier déploiement, le Job db-init crée la base de données et l'utilisateur de l'application, et l'installateur de FreshRSS crée le schéma.

Console : SQL → sélectionnez l'instance pour consulter les connexions, les sauvegardes, les flags et les métriques.

CLI :

gcloud sql instances list --project "$PROJECT"
gcloud sql instances describe <instance-name> --project "$PROJECT"
gcloud sql connect <instance-name> --user=<db-user> --database=<db-name> --project "$PROJECT"

Le nom de l'instance, la base de données, l'utilisateur et le secret du mot de passe figurent dans les sorties. Consultez App_CloudRun pour le modèle de connexion, les sauvegardes et la rotation du mot de passe.

C. Stockage persistant (NFS)

Le répertoire de données de FreshRSS (/var/www/FreshRSS/data) repose sur un volume NFS (enable_nfs = true), qui contient la configuration générée, l'état par utilisateur, les articles mis en cache et les favicons. Ce module ne déclare aucun bucket GCS — le contenu des flux est conservé dans PostgreSQL et dans le répertoire de données NFS.

Console : Filestore → Instances (NFS géré), ou Compute Engine → Instances de VM (serveur NFS autogéré).

CLI :

gcloud filestore instances list --project "$PROJECT"
# Confirm the mount inside the running revision:
gcloud run services describe <service-name> --region "$REGION" \
  --format='value(spec.template.spec.volumes)'

Consultez App_CloudRun pour le modèle de serveur NFS et les options GCS Fuse.

D. Redis (cache facultatif)

Redis est désactivé par défaut (enable_redis = false) et FreshRSS n'en a pas besoin. Il est exposé comme option transmise par souci de cohérence avec les modules PHP apparentés ; laissez-le désactivé sauf raison précise de l'activer.

Console : Memorystore → Redis (si vous utilisez une instance gérée).
CLI :
```
redis-cli -h <redis-host> ping
```

E. Secret Manager

Un secret d'application est généré automatiquement : FRESHRSS_ADMIN_PASSWORD, qui initialise le compte admin par défaut et son mot de passe d'API lors de la première installation. Le mot de passe de la base de données est géré séparément par le socle.

Console : Security → Secret Manager.

CLI :

gcloud secrets list --project "$PROJECT" --filter="name~freshrss"
gcloud secrets versions access latest --secret=<secret-name> --project "$PROJECT"

Consultez App_CloudRun pour les détails d'injection et de rotation.

F. Réseau et entrée

Le service est accessible par défaut à son URL run.app (entrée publique). Un équilibreur de charge HTTPS externe avec domaine personnalisé, Cloud CDN et Cloud Armor peut être ajouté ; les paramètres d'entrée et la sortie VPC contrôlent la connectivité.

Console : Cloud Run (URL du service) ; Network services → Load balancing.

CLI :

gcloud run services describe <service-name> --region "$REGION" --format='value(status.url)'
gcloud compute addresses list --project "$PROJECT"

Consultez App_CloudRun.

G. Cloud Logging et Monitoring

Les journaux des conteneurs sont envoyés vers Cloud Logging ; les métriques de Cloud Run et de Cloud SQL sont envoyées vers Cloud Monitoring, avec des tests de disponibilité et des règles d'alerte facultatifs.

Console : Logging → Logs Explorer ; Monitoring → Dashboards / Alerting.

CLI :

gcloud run services logs read <service-name> --project "$PROJECT" --region "$REGION" --limit 50

3. Comportement de l'application FreshRSS

Configuration de la base de données au premier déploiement. Le Job db-init s'exécute avec postgres:15-alpine. Il se connecte via le Cloud SQL Auth Proxy et crée de manière idempotente la base de données et l'utilisateur de l'application, puis accorde les privilèges. Le job peut être réexécuté sans risque.
Installation au premier démarrage. Le script platform-entrypoint.sh du conteneur résout l'hôte de la base de données, puis pilote les scripts de FreshRSS cli/do-install.php (qui crée data/config.php et le schéma) et cli/create-user.php (qui crée le compte admin à partir de FRESHRSS_ADMIN_PASSWORD), avant d'enchaîner sur le point d'entrée d'origine. L'installation est idempotente — elle est ignorée dès que data/config.php existe sur le volume NFS.
Cron d'actualisation des flux. L'image d'origine démarre un cron dans le conteneur (CRON_MIN = */15) qui actualise les flux suivis toutes les 15 minutes. Il ne s'exécute que tant qu'une instance est active — avec la mise à l'échelle à zéro (min_instance_count = 0), les actualisations sont suspendues jusqu'à ce que la requête suivante réveille le service.
Identifiant administrateur. L'identifiant par défaut est admin avec le FRESHRSS_ADMIN_PASSWORD généré ; la même valeur est définie comme mot de passe d'API utilisé par les clients mobiles des API Google Reader / Fever. Modifiez-le dans l'interface de FreshRSS après la première connexion — la seule rotation de la valeur dans Secret Manager ne réinitialise pas un compte déjà installé.
Chemin de santé. La sonde de démarrage est une vérification TCP sur le port 80 ; la sonde de vivacité est un HTTP GET sur / (200). FreshRSS sert également un point de terminaison JSON /status non authentifié, adapté aux tests de disponibilité. Prévoyez une fenêtre généreuse au premier démarrage, le temps que l'installateur crée le schéma.
URL de base. BASE_URL est défini sur l'URL Cloud Run prévue au moment du plan et corrigé à l'exécution à partir de CLOUDRUN_SERVICE_URL. Vérifiez la révision en cours d'exécution :
```
gcloud run services describe <service-name> --region "$REGION" --format='value(status.url)'
```

Inspecter l'exécution des jobs :

gcloud run jobs list --project "$PROJECT" --region "$REGION"
gcloud run jobs executions list --job <job-name> --project "$PROJECT" --region "$REGION"

4. Variables de configuration

Les variables sont regroupées exactement comme elles apparaissent sur la plateforme de déploiement. Seuls les paramètres propres à FreshRSS ou notables pour celui-ci sont listés ; toutes les autres entrées sont héritées d'App_CloudRun avec leur comportement standard.