Metrics — mesures du système et de la fréquentation 📈

EN | FR | 🟣 MIND | module secubox-metrics

Metrics dit d'un coup d'œil si la box est en bonne santé et qui visite vos sites. Deux pages (vue d'ensemble et page par site), deux cartes du monde, un rapport PDF de fréquentation au style Aurora, un rapport de sécurité quotidien et l'envoi par la messagerie.

Page d'ensemble (/metrics/)

Section	Contenu
Santé globale	un verdict pour la box, repris par le bandeau du portail
Ressources	processeur, mémoire, disque, charge, disponibilité ; jauges et courbes 24 h
Mémoire et charge	historique de la mémoire et de la charge
Services et conteneurs	état des services et des conteneurs LXC
Connexions TCP établies	table des connexions en direct
Trafic et protection WAF	requêtes et menaces vues par le WAF
Origine des attaques / des visiteurs	cartes du monde (voir plus bas)
Campagnes récentes	campagnes d'attaque détectées par le WAF
Certificats	échéance des certificats TLS
Santé des modules	une ligne par module SecuBox

Une valeur sans mesure s'affiche « — », jamais un zéro rassurant. La température est « — » car aucune route ne la fournit. ?embed=1 retire l'habillage pour l'intégration dans le Hall ; ?demo=1 annonce le mode démonstration.

L'état du WAF suit sbxwaf

La santé globale donne le WAF pour actif quand le service secubox-waf-ng est actif et que le port 8085 répond. L'ancien contrôle (conteneur ou processus mitmproxy) n'existe plus : il affichait « WAF HORS SERVICE » alors que sbxwaf tournait. Il ne reste qu'en repli. Voir WAF-FR.

Page Sites (/metrics/vhosts.html)

Bloc	Contenu
Classement des sites	liste triée et filtrable des vhosts
Statuts HTTP	donut des codes de réponse
Requêtes par site	barres par vhost
Origine et pays des visites	carte du monde et liste des pays
Fréquentation jour par jour	histogramme
Hôtes en direct	requêtes par vhost sur une fenêtre récente
Certificats	échéance par site
Détail d'un site (clic sur une ligne)	visites et sondes, codes de retour, navigateurs, pays des visiteurs, pages les plus vues, référents, visites cumulées

Périodes : jour (1 jour), semaine (7), mois (30). Les domaines d'un même site peuvent être regroupés en « famille ». La page propose aussi la relecture des journaux et le rapport PDF.

Cartes du monde

Les deux pages dessinent la même carte en points que la page WAF du Hall : une grille de 120 × 60 cases de 3 degrés, une bulle par pays. La carte « Origine des attaques » de l'index reste à « — » tant que l'API metrics ne fournit pas de pays d'attaque.

Les pays des visiteurs sur 7 jours alimentent aussi la carte des « entrées » de la page Interceptor-FR, dessinée avec la même carte en points (secubox-interceptor 2.1.0). Source absente : la carte reste vide et affiche « — ».

Rapport PDF de fréquentation

Au style Aurora : fond sombre, tuiles (visites, visiteurs, requêtes, erreurs, bande passante), histogramme jour par jour, donut des statuts, carte du monde, barres des sites, navigateurs, référents, pays et détail par vhost.

• À la demande : bouton de la page Sites, ou POST /api/v1/metrics/vhost-stats/rapport?periode=semaine (jeton administrateur). Sans envoyer=true le PDF est téléchargé ; avec, il est expédié par courriel.
• Planifié : secubox-metrics-rapport-quotidien.timer (chaque jour 05:00, 7 derniers jours) et secubox-metrics-rapport.timer (lundi 07:00, dernier mois). Rien ne part tant que /etc/secubox/metrics.toml ne déclare pas une famille et un destinataire :

[rapport.planifie]
famille = "exemple"
destinataire = "[email protected]"
periode = "semaine"

Rapport de sécurité quotidien

secubox-metrics-rapport-waf.timer passe chaque jour à 05:30. Le PDF a trois volets : WAF, Actor Intelligence et DPI, au style des vues du Hall. Données réelles seulement : une source muette est un tiret avec une ligne « Mesures non disponibles », et chaque volet finit par ses définitions (unité, fenêtre, source). Un résumé DPI périmé est annoncé.

[rapport.waf]
destinataire = "[email protected]"
jours = 7
format = "securite"   # "waf" garde l'ancien PDF WAF seul

Envoi par la messagerie

Les rapports passent par le relais local (conteneur mail), port 25, sans authentification, vers un destinataire interne. Avec smtp_user, l'envoi bascule en soumission authentifiée. Le délai SMTP est de 200 s car le relais peut attendre le réveil du conteneur antivirus. Voir Messagerie. Aucun destinataire par défaut : une box neuve n'envoie rien.

Autres fonctions

Fonction	Détail
Historique de la mémoire	GET /api/v1/metrics/memory/history?heures=24 ; un relevé toutes les 5 min (7 jours), alerte sur croissance de la mémoire noyau
Origine des visiteurs	GET /api/v1/metrics/visitor-origin (ASN, mis à jour chaque semaine)
Hôtes en direct	GET /api/v1/metrics/live-hosts
Certificats	GET /api/v1/metrics/cert-status (alerte dès 30 jours)
Santé globale	GET /api/v1/metrics/health/summary

Les routes de lecture sont gardées par require_lecture ; les actions comme le rapport par require_jwt.

Voir aussi

WAF-FR · Interceptor-FR · ThreatMesh-FR · Messagerie · Cartes-du-Hall · MODULES-FR