fix(forgejo): change runner config

stacks/forge.opytex.org/runner/config.yaml

@@ -1,19 +1,29 @@
-# Configuration du Forgejo Runner.
-# L'enregistrement n'est PAS fait par variable d'environnement : il se fait une
-# fois, à la main, et le résultat vit dans /data/.runner (volume
-# forgejo_runner_data). Voir README.md.
+# Configuration du Forgejo Runner (v13).
+#
+# Ce fichier est versionné en clair : il ne doit contenir AUCUN secret. Le
+# jeton du runner est lu dans le volume via `token_url` — voir README.md.
+#
+# Les valeurs non mentionnées ici gardent les défauts de l'image. Pour les
+# revoir : `docker compose run --rm --entrypoint forgejo-runner runner
+# generate-config`.
 
 log:
+  # Sortie du processus runner.
   level: info
+  # Ce qui remonte dans le journal du job, visible dans l'interface web.
+  job_level: info
 
 runner:
-  file: /data/.runner
+  # 4 jobs simultanés, comme l'ancien runner. Le défaut de l'image est 1.
   capacity: 4
   timeout: 3h
-  shutdown_timeout: 0s
-  insecure: false
-  fetch_timeout: 5s
   fetch_interval: 2s
+  insecure: false
+
+  # Les labels associent un `runs-on` de workflow à une image.
+  # Ces images viennent du registre de Gitea : elles sont conservées telles
+  # quelles parce que les workflows existants supposent leur outillage.
+  # En changer romprait des builds sans prévenir.
   labels:
     - "ubuntu-latest:docker://docker.gitea.com/runner-images:ubuntu-latest"
     - "ubuntu-22.04:docker://docker.gitea.com/runner-images:ubuntu-22.04"
@@ -24,24 +34,42 @@ runner:
     - "minio-mc:docker://minio/mc:latest"
 
 cache:
+  # Fournit ACTIONS_CACHE_URL aux workflows qui utilisent l'action `cache`.
   enabled: true
-  dir: ""
+  # Adresse annoncée aux conteneurs de job pour joindre le proxy de cache.
+  # Vide = détection automatique, correcte tant que le démon Docker tourne sur
+  # la même machine que le runner. C'est ici qu'il faut forcer une IP si
+  # `actions/cache` reste bloqué.
   host: ""
-  port: 0
-  external_server: ""
 
 container:
   network: ""
   privileged: false
-  options:
-  workdir_parent:
+  # Aucun volume montable par les jobs.
   valid_volumes: []
-  # Vide = le socket Docker de l'hôte est monté dans les conteneurs de job,
-  # ce qu'exige docker/build-push-action (notytex). Conséquence assumée : tout
-  # job Actions s'exécute en root sur la machine hôte.
-  docker_host: ""
+
+  # ATTENTION AU SENS DE CETTE VALEUR — il a changé en v13.
+  #   "-" ou ""    : aucun socket Docker monté dans le conteneur de job
+  #   "automount"  : socket de l'hôte détecté et monté (défaut d'avant la v13)
+  # `automount` est nécessaire à docker/build-push-action (notytex). En
+  # contrepartie, tout job Actions dispose du démon Docker de l'hôte, donc de
+  # droits équivalents à root sur chioggia.
+  docker_host: "automount"
+
+  # Retire les images à chaque exécution plutôt que de réutiliser une copie
+  # locale. Indispensable ici : le label `minio-mc` pointe sur un tag flottant
+  # (`latest`). Le défaut de l'image est `false`.
   force_pull: true
   force_rebuild: false
 
-host:
-  workdir_parent:
+server:
+  connections:
+    forgejo:
+      url: https://forge.opytex.org/
+      # L'UUID identifie le runner : ce n'est pas un secret, il tient le rôle
+      # d'un nom d'utilisateur.
+      uuid: 0c25170d-cac2-4342-810e-2880e8833b95
+      # Le jeton, lui, en est un. Il vit dans le volume forgejo_runner_data et
+      # n'apparaît donc jamais dans le dépôt. `token` et `token_url` sont
+      # mutuellement exclusifs : ne pas ajouter `token:` ici.
+      token_url: file:///data/runner-token