Vocabulaire ultra simple. Un VPS est un petit ordinateur allumé en permanence sur Internet. Une IP est son adresse numérique. Un domaine est son nom lisible (ex. capital.ton-domaine.fr). Le DNS fait correspondre ce nom à cette IP. SSH ouvre un terminal sur le VPS. Docker lance ARISE sans installer toutes ses bibliothèques à la main. HTTPS chiffre le trafic de ton navigateur. La 2FA/TOTP est le code à six chiffres de ton application d'authentification. Un fichier .env contient les secrets de l'application : ne l'envoie jamais à quelqu'un.

• Un PC Windows 10/11 connecté à Internet, une application PowerShell et un téléphone avec une application d'authentification (Microsoft Authenticator, 2FAS, Aegis sur Android, etc.).
• Le fichier arise-capital-v1-12.zip téléchargé depuis cette conversation. GitHub n'est pas obligatoire pour cette méthode.
• Un VPS européen avec Ubuntu 24.04 LTS, architecture x86-64, idéalement 2 Go de RAM, 1–2 vCPU et 20 Go de stockage. Les petits VPS coûtent souvent quelques euros mensuels, sans garantie de prix.
• Un nom de domaine que tu contrôles, avec accès à ses enregistrements DNS. Il peut être acheté séparément du VPS.
• Ton budget cible de 10–25 €/mois : n'active aucun abonnement données/IA avant de contrôler son prix et ses limites. Un VPS, un domaine, des données payantes et l'IA peuvent dépasser cette enveloppe.

Règle d'or : remplace les textes en MAJUSCULES des commandes (IP_DU_SERVEUR, UTILISATEUR) par les informations de ton hébergeur. Ne copie pas les caractères < ou > en imaginant qu'ils font partie du nom.

1. Sur Windows, clique sur Démarrer, écris PowerShell, puis ouvre Windows PowerShell ou Terminal. Ne le lance pas en administrateur pour créer cette clé.
2. Colle la commande suivante et appuie sur Entrée :

ssh-keygen -t ed25519 -C "arise-vps"

3. Pour le chemin, appuie sur Entrée afin de garder la proposition (C:\Users\...\.ssh\id_ed25519). Si une clé existe déjà, ne l'écrase pas : choisis un autre nom, par exemple arise_ed25519.
4. Quand on te demande une passphrase, choisis-en une ; sa saisie est invisible. Garde-la dans ton gestionnaire de mots de passe.
5. Affiche la clé publique (celle qui peut être copiée dans le compte VPS) :

Get-Content "$env:USERPROFILE\.ssh\id_ed25519.pub"

Si tu as choisi un autre nom, adapte le chemin. N'ouvre ni ne partage id_ed25519 sans .pub : c'est ta clé privée.

Résultat attendu : une seule longue ligne qui commence par ssh-ed25519. Garde la fenêtre ouverte.

1. Depuis ton navigateur, crée un serveur ou VPS : Ubuntu 24.04 LTS, x86-64, environ 2 Go de RAM. Choisis un centre de données dans l'Union européenne si cela te convient.
2. Dans la section SSH key / Clé SSH, clique sur Ajouter une clé, colle la ligne publique obtenue à l'étape précédente.
3. Finalise la création. L'hébergeur affiche une adresse IPv4 et un nom d'utilisateur SSH, généralement root ou ubuntu. Note les deux.
4. Dans le pare-feu réseau de l'hébergeur, ouvre TCP 80 et 443 (site Web) et TCP 22 (SSH) uniquement depuis ton IP personnelle si possible. N'ouvre jamais 8000, 5432, 2375 ou 2376.

Important : un accès depuis Internet sur 80/443 n'est pas un « réseau privé » : HTTPS et une connexion avec mot de passe/2FA protègent l'application, mais la page reste joignable. Un VPN privé ou un contrôle d'accès supplémentaire est recommandé avant toute donnée réelle, après audit.

1. Dans le panneau de ton nom de domaine, ouvre DNS / Zone DNS.
2. Ajoute un enregistrement A : Nom / Hôte capital ; Valeur IP_DU_SERVEUR ; TTL Auto ou 300.
3. Ton adresse deviendra capital.ton-domaine.fr si tu possèdes ton-domaine.fr.
4. S'il existe un enregistrement AAAA (IPv6) pointant ailleurs, supprime-le ou corrige-le : il peut empêcher le certificat HTTPS de fonctionner.
5. La prise en compte peut prendre quelques minutes à plusieurs heures. Ne lance pas la mise en ligne si le domaine pointe vers une mauvaise IP.

Pour vérifier depuis Windows PowerShell, remplace le domaine :

nslookup capital.ton-domaine.fr

Résultat attendu : parmi les adresses affichées doit figurer l'IPv4 du VPS. Si ce n'est pas le cas, reviens aux réglages DNS.

Dans PowerShell sur ton PC (PAS encore sur Ubuntu), écris en remplaçant les valeurs :

ssh UTILISATEUR@IP_DU_SERVEUR

Exemple de forme : ssh ubuntu@203.0.113.20 (l'adresse est fictive, ne la recopie pas).

À la première connexion, SSH peut demander de confirmer l'empreinte du serveur : vérifie-la dans l'interface de ton hébergeur avant d'accepter. Saisis la passphrase de ta clé si demandée. Si tu as enregistré une clé sous un nom différent :

ssh -i "$env:USERPROFILE\.ssh\arise_ed25519" UTILISATEUR@IP_DU_SERVEUR

Résultat attendu : une invite affichant ubuntu@... ou root@.... Toutes les commandes des étapes 5 à 10 sont à lancer dans cette fenêtre SSH Ubuntu, et non dans PowerShell Windows.

Dans le terminal Ubuntu connecté par SSH, colle le bloc suivant (plusieurs lignes à la fois). Il installe Docker depuis le dépôt officiel :

sudo apt-get update
sudo apt-get upgrade -y
sudo apt-get install -y ca-certificates curl unzip python3 openssl age
sudo install -m 0755 -d /etc/apt/keyrings
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc
sudo tee /etc/apt/sources.list.d/docker.sources > /dev/null <<EOF
Types: deb
URIs: https://download.docker.com/linux/ubuntu
Suites: $(. /etc/os-release && echo "${UBUNTU_CODENAME:-$VERSION_CODENAME}")
Components: stable
Architectures: $(dpkg --print-architecture)
Signed-By: /etc/apt/keyrings/docker.asc
EOF
sudo apt-get update
sudo apt-get install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
sudo systemctl enable --now docker

Une commande sudo peut demander le mot de passe du compte Ubuntu ; rien ne s'affiche quand tu le tapes. Si un message propose de redémarrer des services après la mise à jour, accepte les réglages habituels de l'hébergeur.

Vérifie ensuite :

sudo docker --version
sudo docker compose version

Pour éviter de taper sudo à chaque commande Docker, sur un VPS dédié uniquement à ARISE, tu peux autoriser ton utilisateur à exécuter Docker :

sudo usermod -aG docker "$USER"
exit

Tu reviens alors sur PowerShell Windows. Reconnecte-toi par ssh UTILISATEUR@IP_DU_SERVEUR. Puis, sur Ubuntu :

docker compose version
docker run --rm hello-world

Résultat attendu : la version de Compose et un message Hello from Docker!. Attention : appartenir au groupe docker donne pratiquement les droits administrateur sur ce VPS. N'utilise cette solution que pour un utilisateur de confiance et un serveur dédié.

Références officielles : installation Docker pour Ubuntu et Docker Compose.

1. Télécharge arise-capital-v1-12.zip sur ton PC, idéalement dans Téléchargements. Ne l'extrais pas sur Windows : on va transmettre le ZIP directement.
2. Garde ta session SSH Ubuntu ouverte. Ouvre une DEUXIÈME fenêtre PowerShell sur Windows.
3. Dans cette deuxième fenêtre Windows PowerShell, colle :

scp "$env:USERPROFILE\Downloads\arise-capital-v1-12.zip" UTILISATEUR@IP_DU_SERVEUR:~/

Si Windows utilise le dossier Téléchargements ou si le ZIP est ailleurs, adapte uniquement la partie entre guillemets (clic droit sur le fichier → Copier en tant que chemin d'accès).

4. Reviens dans la première fenêtre SSH Ubuntu et exécute :

cd ~
unzip arise-capital-v1-12.zip
cd arise-capital
ls

Résultat attendu : la liste des fichiers, dont docker-compose.yml, Caddyfile, README.md et le guide que tu lis. Ne copie jamais .env sur un dépôt GitHub ou dans ce chat.

Toujours dans le dossier arise-capital sur Ubuntu, lance :

bash scripts/validation-debutant.sh

Ce script construit une image Docker jetable et exécute les tests, y compris l'intégration FastAPI/SQLModel, puis teste une connexion fictive, sans lire ton vrai PEA ni utiliser ta base de données. Le premier lancement peut télécharger plusieurs composants.

Résultat attendu : un nombre de tests réussis sans échec ni test ignoré, puis le texte PASS: container FastAPI/SQLModel... et la confirmation Tests intégration conteneur réussis.

Si un test échoue, STOP. Ne passe pas à l'étape de mise en ligne. Conserve simplement les 20 dernières lignes d'erreur après avoir retiré toute adresse personnelle ou secret.

Cette vérification est un test logiciel, pas un audit de sécurité de l'application ni du VPS.

Avant de lancer l'assistant : vérifie que tu as ton domaine définitif. Tu vas choisir une phrase secrète et associer un code d'authentification à ton téléphone.

Dans le terminal Ubuntu, depuis ~/arise-capital :

python3 scripts/setup_cloud_beginner.py

L'assistant te demandera :

1. Adresse choisie : saisis capital.ton-domaine.fr, sans https://.
2. Phrase secrète : choisis une longue phrase unique d'au moins 20 caractères ; quand tu tapes, rien ne s'affiche.
3. Confirmation : saisis la même phrase.
4. Il génère automatiquement un mot de passe haché Argon2id (l'original ne doit pas être enregistré sur le serveur), les secrets de session et les fichiers .env et Caddyfile.
5. Sur ton téléphone, ouvre une application d'authentification. Choisis Ajouter un compte puis Entrer une clé de configuration manuellement (le texte exact dépend de l'application). Nom : ARISE Capital ; mode : basé sur le temps ; colle la clé ARISE_TOTP_SECRET affichée par l'assistant. Le téléphone affichera alors un code à six chiffres qui change toutes les 30 secondes.

Ne partage ni ton mot de passe ni la clé 2FA. Conserve-les dans ton gestionnaire de mots de passe, avec une sauvegarde sûre de la clé 2FA. Si tu perds ces informations, tu risques de perdre l'accès à l'application. L'assistant refuse d'écraser un .env existant, pour ne pas changer les secrets d'une installation en service.

Si l'assistant affiche « Docker est introuvable », retourne à l'étape 5. S'il indique « un fichier .env existe déjà », ne le supprime pas : c'est peut-être une installation précédente.

Sur Ubuntu, dans ~/arise-capital :

bash scripts/cloud-preflight.sh

Le résultat attendu contient Cloud preflight checks passed. Si cela échoue, ne force pas le lancement. Les tests et le contrôle de configuration doivent être tous les deux réussis.

Ensuite :

docker compose up -d --build
docker compose ps

La sortie doit montrer les services arise, worker et caddy en cours d'exécution (l'application arise doit devenir healthy). Il peut y avoir un petit délai pour le certificat HTTPS, selon le DNS.

Depuis le navigateur de ton PC, visite :

https://capital.ton-domaine.fr

Résultat attendu : l'écran Connexion privée d'ARISE. Saisis ta phrase secrète, puis le code à six chiffres de l'authentificateur. La même adresse fonctionnera sur ton téléphone.

Test simple : ouvre https://capital.ton-domaine.fr/healthz : il doit afficher {"status":"alive"}. Cela prouve uniquement que le serveur répond, pas que les analyses financières ou la sécurité sont entièrement fiables.

IMPORTANT : si ton navigateur signale « connexion non privée » ou une erreur de certificat, n'entre pas ton mot de passe. Corrige d'abord la configuration DNS/HTTPS. Selon Caddy, un domaine valide, une IP bien pointée et les ports 80/443 accessibles sont nécessaires pour le certificat public automatique.

1. 2FA fonctionne : connecte-toi avec le bon code ; vérifie qu'un mauvais code est refusé. La déconnexion doit ramener à l'écran de connexion.
2. L'onglet « Système » : ouvre-le après connexion. Il doit afficher la santé SQLite, le statut de configuration des données et le statut IA. « CONFIGURED » signifie seulement qu'une clé existe, pas que la source est opérationnelle.
3. Portefeuille vide : une nouvelle installation cloud démarre sans aucune ligne de transaction ni patrimoine fictif. C'est normal : il faut importer et rapprocher tes relevés.
4. Aucune transaction réelle n'a été passée : ARISE est un outil de recherche et de suivi, pas un courtier.

Le point à comprendre : le serveur peut être perdu ou effacé. Une sauvegarde stockée uniquement sur ce serveur peut disparaître en même temps. Il te faut une sauvegarde chiffrée copiée en dehors du VPS et un moyen de la relire.

Sur Ubuntu, installe age (déjà installé à l'étape 5), puis crée une seule fois une clé de récupération :

age-keygen -o "$HOME/arise-recovery-key.txt"
chmod 600 "$HOME/arise-recovery-key.txt"
age-keygen -y "$HOME/arise-recovery-key.txt"

La dernière commande affiche une clé publique commençant par age1.... La clé privée arise-recovery-key.txt doit être sauvegardée HORS du VPS avant d'être supprimée du serveur. Cette méthode débutant génère temporairement la clé privée sur le VPS ; pour une meilleure sécurité, crée-la directement sur un appareil hors ligne.

Dans une deuxième fenêtre PowerShell Windows, transfère ta clé privée vers ton PC :

scp UTILISATEUR@IP_DU_SERVEUR:~/arise-recovery-key.txt "$env:USERPROFILE\Documents\arise-recovery-key.txt"

Vérifie dans l'Explorateur Windows que le fichier est bien présent. Range-le dans un coffre sécurisé, avec une copie hors du PC. Ne l'envoie jamais par e-mail ni sur GitHub. Puis sur Ubuntu, supprime la copie de travail sur le VPS :

rm "$HOME/arise-recovery-key.txt"

Attention : une suppression ordinaire ne garantit pas l'effacement physique des supports SSD du fournisseur ; pour les données sensibles, privilégie la génération de la clé hors serveur. La clé privée reste la seule façon de déchiffrer les sauvegardes.

Sur Ubuntu, configure la sauvegarde chiffrée :

export ARISE_AGE_RECIPIENT='COLLER_ICI_LA_CLE_PUBLIQUE_age1...'
export ARISE_BACKUP_DIR="$HOME/arise-backups"
mkdir -p "$ARISE_BACKUP_DIR"
chmod 700 "$ARISE_BACKUP_DIR"
bash scripts/backup.sh
ls -lh "$ARISE_BACKUP_DIR"

Résultat attendu : un fichier nommé arise-AAAA...sqlite.age. Copie-le aussi sur ton PC avec Windows PowerShell :

scp 'UTILISATEUR@IP_DU_SERVEUR:~/arise-backups/*.age' "$env:USERPROFILE\Documents\"

Le fichier *.age est chiffré ; conserve également ta clé privée dans un endroit distinct. Ne laisse pas la seule sauvegarde sur le VPS. Une sauvegarde ne compte vraiment que si sa restauration a été testée. Effectue le premier test de déchiffrement dans une instance isolée avant d'importer tes vraies données ; vois PRODUCTION.md. La restauration dans le serveur principal peut écraser la base et ne doit pas être tentée à l'aveugle.

Les sauvegardes automatiques ne sont PAS activées d'office. Planifie une sauvegarde quotidienne et une copie hors serveur ; en attendant, répète la procédure manuelle après chaque changement important. Vérifie le résultat plutôt que de supposer que tout a marché.

1. Dans le site de ton courtier, cherche « Historique des opérations », « Exporter » ou « Relevés ». Télécharge l'historique depuis l'ouverture du PEA, pas seulement les trois derniers mois.
2. Dans le ZIP ARISE, ouvre examples/pea-template.csv. Le format utilise ; comme séparateur. Les trois lignes fournies sont FICTIVES : ne les importe surtout pas comme tes opérations.
3. Convertis ton historique réel dans ce format. Types d'opération gérés : DEPOSIT, WITHDRAWAL, BUY, SELL, DIVIDEND, FEE, TAX. Les ISIN, montants, quantités et dates doivent correspondre aux relevés. Ne crée pas de faux achats pour « reconstituer » des positions inconnues.
4. Dans ARISE, ouvre l'onglet Registre PEA et fais d'abord une prévisualisation de l'import, puis valide uniquement si les totaux concordent.
5. Rapproche un relevé bancaire daté : cash, ISIN et nombre entier d'actions. Si un écart existe, arrête-toi et corrige le fichier source. Les anciennes estimations de cash ne remplacent pas une preuve du courtier.

Opérations spéciales : splits, fusions, transferts et certains événements sur titres ne sont pas totalement pris en charge. Si tu en as, n'importe pas l'historique sans adaptation et vérification. N'envoie pas un relevé non anonymisé dans une conversation, un ticket public ou un dépôt GitHub.

ARISE fonctionne sans abonnement IA ou données. Il lui manquera alors les données automatiques et les analyses externes.

Pour activer une source, il faut d'abord ouvrir un compte directement auprès du fournisseur, consulter sa grille tarifaire et surtout vérifier que son contrat autorise ton usage automatique/serveur. Ne suppose pas qu'une API gratuite est autorisée pour tout traitement automatisé.

1. Depuis le fournisseur, crée une clé API et définis un plafond de facturation côté fournisseur lorsque c'est proposé.
2. Sur Ubuntu, depuis ~/arise-capital, ouvre le fichier privé avec nano .env.
3. Modifie uniquement les champs correspondants, par exemple EODHD_API_TOKEN= pour les cours et OPENAI_API_KEY= pour une analyse IA facultative. Ne colle jamais les clés dans un chat ou dans le navigateur d'ARISE.
4. Pour enregistrer dans nano : Ctrl+O, Entrée, puis Ctrl+X.
5. Redémarre les services de façon contrôlée :

docker compose up -d --force-recreate arise worker
docker compose ps

Le fichier .env doit garder la permission 600. Les cours doivent être datés, attribués à leur fournisseur, et les recommandations ne sont pas automatiques. L'IA peut faire des erreurs et inventer des arguments ; considère ses analyses comme des éléments à vérifier, pas comme des ordres.

• PC : ouvre simplement https://capital.ton-domaine.fr dans ton navigateur, connecte-toi, puis consulte Portefeuille, Radar, Découverte, Comité, Performance et Système.
• Téléphone : ouvre la même adresse HTTPS dans Safari/Chrome. Dans les options du navigateur, utilise Ajouter à l'écran d'accueil si cette fonction est disponible.
• Une alerte de zone cible signifie « à analyser », pas « achète ». Vérifie la fraîcheur des cours, l'éligibilité PEA, les actualités et la taille de position.
• Une fois par semaine : ouvre l'onglet Système, vérifie le dernier cours observé et l'état de tes sauvegardes.
• Chaque mois : mets à jour Ubuntu et Docker, contrôle les factures du VPS et des API, et copie une sauvegarde chiffrée hors du serveur.

Commandes de diagnostic utiles, à lancer sur Ubuntu dans ~/arise-capital :

docker compose ps
docker compose logs --tail=80 arise worker caddy
docker compose restart arise worker

Les logs peuvent révéler des noms de domaines ou d'autres métadonnées ; anonymise-les avant toute demande d'aide.

Depuis Ubuntu dans ~/arise-capital :

docker compose stop
docker compose start

À NE JAMAIS utiliser à l'aveugle : docker compose down -v (le -v supprime les volumes et peut détruire tes données PEA). N'efface pas les fichiers .env ou les volumes pour résoudre une erreur de schéma.

Mise à jour : d'abord une sauvegarde chiffrée hors serveur, puis lire le CHANGELOG.md et les instructions de migration de la version suivante, puis tests sur une copie de la base, et seulement ensuite déploiement. Ce projet ne fournit pas encore un système complet de migrations automatiques : ne remplace pas aveuglément les fichiers d'une installation qui contient des données réelles.

• [ ] Le VPS répond en SSH avec une clé, et seuls les ports nécessaires sont ouverts.
• [ ] Le domaine pointe vers la bonne IP et le navigateur a un certificat HTTPS valide.
• [ ] scripts/validation-debutant.sh réussit sans aucun test échoué ou ignoré.
• [ ] scripts/cloud-preflight.sh réussit ; le .env n'a jamais été publié.
• [ ] docker compose ps montre l'application et le worker opérationnels.
• [ ] Mot de passe unique, 2FA activée, déconnexion vérifiée.
• [ ] Sauvegarde chiffrée, hors serveur et restauration testée sur une instance isolée.
• [ ] Avant tes vrais relevés : sécurité évaluée, import fictif validé, écarts comptables compris.
• [ ] Sources de cours réellement vérifiées ; coûts et droits d'usage contrôlés.
• [ ] Tu sais reconnaître cours réel, donnée historique, hypothèse IA et signal bloqué.

Statut honnête : ce guide permet de suivre l'installation et d'en tester le fonctionnement. Il ne dispense ni d'un audit de sécurité pour des données financières sensibles, ni de la validation des flux et de l'import réel. Si tu bloques, note simplement le numéro de l'étape, la commande et le message d'erreur anonymisé ; jamais les mots de passe ou clés.