Catalogue des cartes de fond

L'administrateur gère les fonds proposés dans Validation, Qualité et le sélecteur de fond préféré du compte. Les utilisateurs choisissent parmi ces ressources ; une préférence utilisateur ne crée pas de serveur.

Choisir le bon type de ressource

Ressource	Configuration typique à vérifier
Serveur de tuiles	Modèle d'URL, attribution, visibilité par défaut et opacité
WMS	URL du service, couches et paramètres de requête/projection compatibles
WMTS	URL/capacités du service et correspondance couche, matrice et format

Utilisez les champs du formulaire d'administration adapté. Une URL ne garantit pas la compatibilité : le serveur doit fournir la couche et le système de coordonnées demandés et autoriser l'accès du navigateur.

Ajouter et vérifier un fond

1. Créez une ressource avec un nom reconnaissable et l'attribution requise par le fournisseur.
2. Renseignez les champs propres au service et l'opacité ; choisissez le défaut de l'instance lorsqu'il est proposé.
3. Enregistrez puis ouvrez une carte avec un compte utilisateur.
4. Testez plusieurs zooms et l'alignement avec les objets OSM.
5. Testez les superpositions, l'ordre et la transparence.

Privilégiez les ressources HTTPS pour une application HTTPS. Si une couche est vide, examinez les erreurs réseau/navigateur, les capacités du serveur, les restrictions d'accès et la configuration avant de modifier les données cartographiques.

Choix personnels et changements du catalogue

Le défaut de l'instance sert de repli. Un compte peut choisir un fond préféré et chaque module mémoriser localement sa composition active pour cet utilisateur. Cette composition comprend les couches actives, leur ordre et leur opacité ; elle peut différer entre navigateurs ou modules.

Renommer une ressource n'équivaut pas à la supprimer puis la recréer : les préférences utilisent son identifiant. Après suppression, les utilisateurs peuvent devoir choisir un autre fond disponible. N'exposez pas des identifiants de service privés dans une URL transmise aux navigateurs.

Flux protégés

Après avoir enregistré une ressource tuiles, WMS ou WMTS, utilisez son bouton clé/cadenas pour ouvrir Authentification du flux. Le cadenas indique une authentification configurée, pas un test de connexion réussi. Chaque flux possède ses propres identifiants.

Mode	Champs	Usage typique
HTTP Basic	Utilisateur et mot de passe	GeoServer protégé ou autre service HTTP
Bearer	Jeton, sans le préfixe Bearer	Fournisseur acceptant Authorization: Bearer …
Clé d'API dans un en-tête	Nom de l'en-tête et clé	Par exemple X-API-Key
Clé/jeton dans un paramètre d'URL	Nom du paramètre et secret	Par exemple key, authkey, token ou access_token
Aucune	Aucun secret	Accès direct existant depuis le navigateur

Choisissez le mode indiqué par le fournisseur : « utilisateur/mot de passe » ne signifie pas forcément HTTP Basic. HTTP Digest, NTLM/Kerberos, les certificats clients, les connexions interactives/SSO et l'obtention ou le renouvellement automatique de jetons OAuth2 ne sont pas implémentés. Un jeton d'accès OAuth2 déjà obtenu peut être saisi en Bearer jusqu'à son expiration. Un jeton ArcGIS peut être utilisé comme paramètre d'URL ; sa génération et son renouvellement restent externes.

1. Dans le formulaire d'origine, renseignez une URL HTTPS sans identifiants. Conservez les paramètres fonctionnels tels que SERVICE, REQUEST et VERSION. Pour WMTS, conservez l'URL GetCapabilities fonctionnelle. Pour XYZ, conservez le modèle de coordonnées.
2. Ouvrez l'authentification, choisissez le mode, renseignez ses champs et enregistrez.
3. Cliquez sur Tester le flux. Pour WMS/WMTS, le test lit les capacités ; il ne garantit pas l'accès à toutes les couches/tuiles. Pour XYZ, il demande une tuile raster : choisissez Z/X/Y dans la couverture du service (le défaut 0/0/0 peut ne pas exister).
4. Ouvrez Validation et Qualité et vérifiez le fond à plusieurs zooms. Rechargez une carte déjà ouverte après modification des identifiants.

Un secret laissé vide conserve la valeur enregistrée uniquement si le mode, l'utilisateur/nom de clé et l'URL sont identiques. Une modification de l'URL bloque le flux protégé jusqu'à une nouvelle saisie et un enregistrement des identifiants. Enregistrer Aucune supprime le secret. Remplacez ici les jetons expirés. Un test en échec n'efface pas la configuration enregistrée.

Les identifiants donnent accès au flux aux utilisateurs connectés de l'instance. Utilisez un compte de service dont la licence et les droits autorisent cet usage. Les restrictions fournisseur basées sur le Referer du navigateur peuvent être incompatibles avec le relais serveur ; autorisez si nécessaire l'IP de sortie du serveur LeBonTag.

Configuration du serveur

Renseignez ces variables dans le fichier existant .env.production.local, ou .env.development.local en développement ; aucun fichier de configuration ni service supplémentaire n'est nécessaire :

LBT_MAP_ENCRYPTION_KEY=<64 caractères hexadécimaux>
LBT_MAP_PRIVATE_ORIGINS=

Générez une clé indépendante, puis reportez-la dans le fichier d'environnement avec sudoedit. Ne remplacez pas une clé existante pendant une mise à jour. Sauvegardez-la avec l'environnement : sa perte ou son changement nécessite de ressaisir les secrets de tous les flux.

openssl rand -hex 32
sudoedit /opt/lebontag-v2/.env.production.local
sudo chown root:lbt-integration /opt/lebontag-v2/.env.production.local
sudo chmod 0640 /opt/lebontag-v2/.env.production.local
sudo systemctl restart lbt-web.service

Sous Docker, modifiez le même fichier d'environnement et recréez le conteneur web selon la procédure Docker. La clé est lue par le serveur Node, jamais dans une variable NEXT_PUBLIC_*.

Le relais refuse par défaut les adresses IP privées. Pour autoriser un serveur HTTPS intranet, indiquez son origine exacte, avec le port s'il n'est pas standard. Séparez les origines par des virgules, sans chemin ni barre oblique finale. Les adresses de boucle locale et link-local/métadonnées restent interdites.

LBT_MAP_PRIVATE_ORIGINS=https://sig.example.internal,https://cartes.example.internal:8443

Le serveur doit résoudre ces noms, les joindre et reconnaître leurs certificats TLS. Les adresses DNS sont contrôlées et fixées pour chaque connexion. Les secrets sont chiffrés en base en AES-256-GCM. L'application doit être publiée en HTTPS en production pour protéger la saisie des secrets par les administrateurs.

Fonctionnement et limites du relais

Les images protégées transitent par LeBonTag ; les flux publics conservent leur accès direct. Le catalogue transmis au navigateur contient des URL opaques de même origine. Le relais exige une session connectée, utilise uniquement des destinations enregistrées/signées, ne suit pas les redirections et ne renvoie ni secrets ni corps d'erreur du fournisseur. Les requêtes WMS utilisent les couches configurées. Les capacités WMTS sont filtrées sur la couche configurée et leurs URL de tuiles KVP/REST sont réécrites. Les capacités et tuiles d'un WMTS protégé doivent avoir la même origine ; les services multi-origines nécessitent un point d'accès fournisseur adapté ou une passerelle amont.

Images raster acceptées : PNG, JPEG, GIF et WebP. XYZ prend en charge {z}, {x}, {y}, {-y} et les plages de sous-domaines telles que {a-c}. Les tuiles vectorielles/PBF et SVG ne sont pas prises en charge par ce relais. TIME/ELEVATION standards en WMTS et les dimensions des modèles REST fonctionnent ; les autres dimensions KVP personnalisées nécessitent une adaptation. Limites : 15 secondes, 8 Mio par réponse et 32 requêtes amont simultanées par processus web (16 par utilisateur). Les images WMS sont limitées à 8192 pixels par dimension. Les réponses utilisent private, no-store ; prévoir la bande passante serveur correspondante.

Références fournisseurs : authentification HTTP GeoServer, authkey GeoServer, génération et expiration des jetons ArcGIS, clés d'API MapTiler.

Choisir les couches WMS et WMTS dans les capacités

Dans le formulaire d'ajout ou de modification, renseignez l'URL du service puis cliquez sur Charger les couches. LeBonTag lit GetCapabilities côté serveur et présente le titre lisible et l'identifiant exact de chaque couche nommée. Recherchez par titre ou identifiant ; les 100 premiers résultats et le nombre total sont affichés. Affinez la recherche pour accéder aux autres couches.

• WMTS : choisissez une couche. Les jeux de matrices disponibles sont indiqués pour information ; le choix de matrice existant de la carte n'est pas modifié.
• WMS : choisissez une ou plusieurs couches. Les identifiants sont conservés dans l'ordre de sélection, séparés par des virgules. Un format image compatible est renseigné à la sélection, en privilégiant PNG puis JPEG ; le champ Format reste modifiable.
• Les pastilles présentent la sélection actuelle et permettent de retirer une couche. Un identifiant sélectionné absent des capacités chargées est signalé, sans remplacement silencieux.
• La Saisie manuelle (avancé) reste disponible pour un service indisponible ou une configuration particulière. Une erreur de lecture n'efface jamais votre sélection.

Les capacités WMS 1.1.1/1.3.0 et WMTS 1.0.0 sont prises en charge. Les groupes WMS nommés et leurs sous-couches sont proposés, avec les systèmes de coordonnées hérités. Seules les métadonnées utiles à la sélection sont renvoyées, pas le XML brut ni les identifiants de connexion. L'API de listing est réservée aux administrateurs et applique les mêmes protections HTTPS/réseau que le relais de flux, y compris la liste d'origines intranet et la limite de taille. Le service doit être joignable depuis le serveur LeBonTag. Un listing réussi ne garantit pas l'accès CORS depuis le navigateur ni la compatibilité de projection sur la carte.

Pour un flux protégé existant, l'authentification enregistrée est réutilisée automatiquement. Si vous changez son URL, enregistrez ce changement et confirmez les identifiants via le bouton clé avant de rouvrir le sélecteur.

Pour un nouveau WMS/WMTS protégé, ouvrez Authentification du nouveau flux (facultatif) dans le sélecteur, renseignez les identifiants puis chargez les couches. Ils servent à la découverte mais ne sont pas encore enregistrés. L'ajout du flux enregistre ensemble la ressource et son authentification chiffrée, dans une transaction ; annuler ne crée ni l'une ni l'autre. La clé de chiffrement doit être configurée au préalable. Les changements ultérieurs d'identifiants utilisent le bouton clé/cadenas habituel. Les flux Tuiles/XYZ n'ont pas de catalogue de capacités et conservent leur formulaire de modèle d'URL.

Exemple IGN orthophotos : utilisez https://data.geopf.fr/wmts?SERVICE=WMTS&VERSION=1.0.0&REQUEST=GetCapabilities, recherchez ORTHOIMAGERY.ORTHOPHOTOS, puis sélectionnez cet identifiant technique. Le titre d'une donnée ou d'une fiche de catalogue n'est pas nécessairement un identifiant de couche WMTS.