> For clean Markdown of any page, append .md to the page URL. > For a complete documentation index, see https://docs.goodflag.com/llms.txt. > For AI client integration (Claude Code, Cursor, etc.), connect to the MCP server at https://docs.goodflag.com/_mcp/server. # Configuration > Paramétrer votre instance # Configuration ## Configuration de l'application La configuration de l'application peut être modifiée via des propriétés de configuration. Vous pouvez spécifier les propriétés de configuration à l'aide d'arguments de ligne de commande commençant par `--` comme décrit précédemment. | Clé | Valeur par défaut | Description | | --------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------- | | `clientFolderPath` | `${user.home}/sgs-rm-data/clients/` | Dossier où se trouvent les fichiers de configuration client. En cluster, ce dossier peut être partagé entre les nœuds. | | `requestFolderPath` | `${user.home}/sgs-rm-data/requests/` | Dossier où sont stockées les demandes. En cluster, **ce dossier DOIT être partagé entre les nœuds**. | | `requestFolderCleanupRate` | 900000 | Fréquence de nettoyage des demandes (toutes les 15 minutes par défaut). | | `tempFolderPath` | `${user.home}/sgs-rm-data/temp/` | Dossier temporaire. Ce dossier *NE DOIT PAS* être partagé entre les nœuds d'un cluster. | | `queueFolderPath` | `${user.home}/sgs-rm-data/queues/` | Dossier où sont stockés les messages mis en file d'attente. En cluster, **ce dossier DOIT être partagé entre les nœuds**. | | `signedDataFolderPath` | signed\_data/ | Dossier utilisé pour stocker les données signées dans une archive ZIP | | `finishJobs` | true | Active les tâches de finalisation (finish jobs) sur cette instance. | | `adminsPasswdPath` | `${user.home}/sgs-rm-data/admins.passwd` | Chemin vers le fichier admins.passwd. | | `confScanRate` | 30000 | Fréquence de détection des changements de configuration (toutes les 30 secondes par défaut). | | `uiUrl` | | URL vers les fichiers statiques de l'interface, pour le développement. **Seules les URLs localhost sont autorisées.** | | `logging.file.name` | `${user.home}/sgs-rm-data/logs/rm.log` | Chemin vers le fichier de log. | | `server.port` | 8881 | Port d'écoute du serveur. | | `proxyHost` | | Le nom d'hôte du serveur proxy, le cas échéant. | | `proxyPort` | 80 | Le numéro de port du serveur proxy. | | `proxyUser` | | Le nom d'utilisateur pour l'authentification au proxy. | | `proxyPassword` | | Le mot de passe utilisateur pour l'authentification au proxy. | | `tsaUrlQualified` | [https://tsa.sunnystamp.com/tsa](https://tsa.sunnystamp.com/tsa) | Serveur d'horodatage conforme à la RFC 3161. | | `tsaUserName` | | Nom d'utilisateur du serveur d'horodatage. | | `tsaPassword` | | Mot de passe du serveur d'horodatage. | | `validateDocument` | true | Valide le document signé | | `server.ssl.enabled` | false | Indique s'il faut activer HTTPS. | | `server.ssl.keyStoreType` | JKS | Type de keystore à utiliser pour configurer HTTPS. Valeurs possibles : `JKS`, `PKCS12`. | | `server.ssl.key-store` | | Chemin vers le keystore à utiliser pour configurer HTTPS | | `server.ssl.key-store-password` | | Mot de passe du keystore à utiliser pour configurer HTTPS | | `server.ssl.key-alias` | | Alias de la clé à utiliser pour configurer HTTPS | | `server.ssl.key-password` | | Mot de passe de la clé à utiliser pour configurer HTTPS | | `spring.codec.max-in-memory-size` | 2000000 | Taille maximale des buffers en RAM | | `helios.namespace` | XADES\_122 | Namespace de configuration Helios | | `helios.policy.digestAlgorithm` | SHA256 | L'algorithme d'empreinte de la politique de signature XAdES détachée | | `helios.policy.id` | 1.2.250.1.131.1.5.18.21.1.7 | L'OID de la politique de signature Helios | | `helios.policy.digestValue` | GbP1WjbTrHp6h9zlsz5RN7AqkJbnDNDOAQzgm1qzIJ4= | L'empreinte encodée en base64 de la politique de signature Helios | | `helios.policy.uri` | [https://www.collectivites-locales.gouv.fr/files/files/2.%20G%C3%A9rer%20les%20finances%20publiques%20locales/6.%20La%20d%C3%A9mat%C3%A9rialisation%20des%20comptes%20locaux%20et%20l%27open%20data/D%C3%A9mat%20comptable/Le%20PES/ps\\\_helios\\\_dgfip.pdf](https://www.collectivites-locales.gouv.fr/files/files/2.%20G%C3%A9rer%20les%20finances%20publiques%20locales/6.%20La%20d%C3%A9mat%C3%A9rialisation%20des%20comptes%20locaux%20et%20l%27open%20data/D%C3%A9mat%20comptable/Le%20PES/ps\\_helios\\_dgfip.pdf) | L'URL de la politique de signature Helios | | `helios.canonicalizationMethod.keyInfo` | EXCLUSIVE | Canonicalisations | | `xadesDetached.namespace` | XADES\_132 | Namespace de configuration XAdES détachée | | `xadesDetached.policy.digestAlgorithm` | SHA256 | L'algorithme d'empreinte de la politique de signature XAdES détachée | | `xadesDetached.policy.id` | 1.2.250.1.115.200.300.4 | L'OID de la politique de signature XAdES détachée | | `xadesDetached.policy.digestValue` | lLKFDAaR8NxNtrf1cIlmULQgp1GS+7igKN8p7pqy3G0= | L'empreinte encodée en base64 de la politique de signature XAdES détachée | | `xadesDetached.policy.uri` | [https://sites.banque-france.fr/igc/signature/ps/ps\\\_1\\\_2\\\_250\\\_1\\\_115\\\_200\\\_300\\\_4.pdf](https://sites.banque-france.fr/igc/signature/ps/ps\\_1\\_2\\_250\\_1\\_115\\_200\\_300\\_4.pdf) | L'URL de la politique de signature XAdES détachée | | `xadesDetached.canonicalizationMethod.keyInfo` | EXCLUSIVE | Canonicalisations | | `cades.policy.digestAlgorithm` | SHA256 | Configuration CAdES : l'algorithme d'empreinte de la politique de signature CAdES | | `cades.policy.id` | 1.2.250.1.115.200.300.4 | L'OID de la politique de signature CAdES | | `cades.policy.digestValue` | lLKFDAaR8NxNtrf1cIlmULQgp1GS+7igKN8p7pqy3G0= | L'empreinte encodée en base64 de la politique de signature CAdES | | `cades.policy.uri` | [https://sites.banque-france.fr/igc/signature/ps/ps\\\_1\\\_2\\\_250\\\_1\\\_115\\\_200\\\_300\\\_4.pdf](https://sites.banque-france.fr/igc/signature/ps/ps\\_1\\_2\\_250\\_1\\_115\\_200\\_300\\_4.pdf) | L'URL de la politique de signature CAdES | | `cadesDetached.policy.digestAlgorithm` | SHA256 | Configuration CAdES détachée : l'algorithme d'empreinte de la politique de signature CAdES détachée | | `cadesDetached.policy.id` | 1.2.250.1.115.200.300.4 | L'OID de la politique de signature CAdES détachée | | `cadesDetached.policy.digestValue` | lLKFDAaR8NxNtrf1cIlmULQgp1GS+7igKN8p7pqy3G0= | L'empreinte encodée en base64 de la politique de signature CAdES détachée | | `cadesDetached.policy.uri` | [https://sites.banque-france.fr/igc/signature/ps/ps\\\_1\\\_2\\\_250\\\_1\\\_115\\\_200\\\_300\\\_4.pdf](https://sites.banque-france.fr/igc/signature/ps/ps\\_1\\_2\\_250\\_1\\_115\\_200\\_300\\_4.pdf) | L'URL de la politique de signature CAdES détachée | | `logging.level.eu.europa.esig.dss.crl.stream.impl.CRLUtilsStreamImpl` | ERROR | Supprime les traces/avertissements CRL concernant une signature CRL incorrecte | > `${user.home}` est le dossier personnel de l'utilisateur exécutant l'application, généralement `/home/sunnystamp` si vous avez créé un service systemd. > > Veuillez noter que les modifications de la configuration de l'application ne peuvent *PAS* être appliquées sans redémarrer l'application. ## Configuration client Le fichier `client.properties` est un fichier de propriétés Java qui contient la configuration d'une application demandeuse (requester) spécifique. Une nouvelle application demandeuse peut être ajoutée simplement en créant un nouveau dossier dans le dossier client et en y plaçant un fichier `client.properties`. Par exemple, vous pouvez créer un client avec l'ID `001` en créant le fichier `${clientFolderPath}/001/client.properties` avec le contenu suivant : ``` apiKey=5xVpCQPEYdncwHXwCDf5sqyfN9GPrio5 sharedPassphrase=QBZfLKb8tcPitybbJtBbWKqM emUrl=https://evidence-manager.lex-persona.com/ ``` Le chemin du dossier client est défini dans la configuration de l'application. Pensez à randomiser les clés contenues dans ces fichiers et à en restreindre l'accès. > Notez que les modifications apportées aux fichiers `client.properties` sont **chargées automatiquement** sans avoir besoin de redémarrer l'application, selon la propriété de configuration `confScanRate`. > > Notez également que certaines parties de la configuration dans `client.properties` doivent être fournies par Goodflag. Veuillez [nous contacter](https://support.lex-persona.com/) pour obtenir de l'aide. | Clé | Valeur par défaut | Description | | ------------------------------------------------------ | -------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `apiKey` | change\_me | Clé API autorisée. Une clé API robuste peut être générée avec la commande Unix suivante : `base64 /dev/urandom` | | `sharedPassphrase` | change\_me | Phrase secrète partagée, fournie par Goodflag. | | `requestTtl` | 3600000 | Durée de vie de la demande (1h par défaut). | | `longPollingTimeout` | 15000 | Délai d'expiration pour les requêtes HTTP de long polling (15 secondes par défaut). | | `emUrl` | [http://localhost:8883/](http://localhost:8883/) | URL de l'Evidence Manager. **Doit utiliser HTTPS.** | | `tsaUrl` | [http://tsa.sunnystamp.com/tsa](http://tsa.sunnystamp.com/tsa) | Serveur d'horodatage conforme à la RFC 3161. | | `webhookUrls` | | Liste d'URLs de webhook séparées par des espaces. | | `webhookReattemptDelays` | 1 2 3 5 8 13 | Liste des délais avant nouvelle tentative des appels webhook, séparés par des espaces (en minutes). | | `params.locale` | | La locale à imposer dans la page de consentement. Si non renseignée, la locale du navigateur sera utilisée. | | `params.signerSubject` | | L'identifiant du signataire attendu. Utilisé pour valider l'identité du signataire en mode signature serveur. | | `params.signerEmail` | | L'e-mail du signataire attendu. Utilisé pour valider l'identité du signataire en mode signature serveur. | | `params.signerPhoneNumber` | | Le numéro de téléphone du signataire attendu. Utilisé pour valider l'identité du signataire en mode signature serveur. | | `params.signerGivenName` | | Le prénom du signataire attendu. Utilisé pour valider l'identité du signataire en mode signature serveur. | | `params.signerFamilyName` | | Le nom de famille du signataire attendu. Utilisé pour valider l'identité du signataire en mode signature serveur. | | `params.signerCountry` | | Le pays du signataire attendu. Utilisé pour valider l'identité du signataire en mode signature serveur. | | `params.keystoreTypes` | | Liste de types de keystore séparés par des virgules à utiliser par Odisia desktop en mode signature locale. Valeurs possibles : `PKCS11`, `OS`. | | `params.truststoreTypes` | | Liste de types de truststore séparés par des virgules à utiliser par Odisia desktop en mode signature locale. Valeurs possibles : `PKCS11`, `OS`. | | `params.certificateFilterData` | | Utilisé pour filtrer le certificat du signataire en mode signature locale. Le contenu doit être au format XML et conforme au schéma LPCertFilter v2.0. | | `params.certificateFilterExpression` | | Utilisé pour filtrer le certificat du signataire en mode signature locale. Exemple : `all_filter`. | | `params.certificateRgsLevels` | | Liste de niveaux RGS autorisés pour le certificat du signataire en mode signature locale, séparés par des virgules. Valeurs possibles : `RGS1`, `RGS2`, `RGS3`. | | `params.desktopWindowX` | | Coordonnée X de la fenêtre Odisia desktop. Si non renseignée, la fenêtre sera centrée horizontalement. | | `params.desktopWindowY` | | Coordonnée Y de la fenêtre Odisia desktop. Si non renseignée, la fenêtre sera centrée verticalement. | | `params.mobileSkin` | | Thème (skin) à utiliser dans Odisia mobile. Valeurs possibles : `purple`, `golden`, `black`. | | `params.bypassViewer` | false | Permet de désactiver l'étape de visualisation des documents si aucun d'entre eux ne l'exige. Ignoré si au moins un document nécessite une visualisation obligatoire. Valeurs possibles : `true`, `false`. | | `profiles.default.signatureType` | | Type de signature. Valeurs possibles : `pades`, `xades`, `cades`, `helios`, `auto`, `attachment`. Utilisez `auto` pour sélectionner automatiquement le type de signature selon le type de contenu. Utilisez `attachment` pour désactiver la signature du document. | | `profiles.default.signatureLevel` | | Niveau de signature. Valeurs possibles : `b`, `t`, `lt`, `lta`. | | `profiles.default.forceScrollDocument` | false | Indique si le signataire sera obligé de faire défiler le document jusqu'en bas avant de signer. Uniquement pour les types de contenu pris en charge (par exemple PDF et XML). | | `profiles.default.signerLocationCity` | | La ville où la signature a lieu. | | `profiles.default.signerLocationPostalCode` | | Le code postal où la signature a lieu. | | `profiles.default.signerLocationCountry` | | Le pays où la signature a lieu. | | `profiles.default.signerRoles` | | Liste de rôles du signataire, séparés par des virgules. | | `profiles.default.pdfSignatureFieldId` | | ID d'un champ de signature existant dans le PDF. | | `profiles.default.pdfSignatureImagePage` | | Page du PDF où l'image de signature apparaîtra, en commençant à `1`. Utilisez un nombre négatif pour partir de la dernière page. Ignoré si `pdfSignatureFieldId` est défini. | | `profiles.default.pdfSignatureImageX` | | Position de l'image de signature dans la page du PDF (axe X). Ignoré si `pdfSignatureFieldId` est défini. | | `profiles.default.pdfSignatureImageY` | | Position de l'image de signature dans la page du PDF (axe Y). Ignoré si `pdfSignatureFieldId` est défini. | | `profiles.default.pdfSignatureImageWidth` | | Largeur (en pixels) de l'image de signature dans la page du PDF. Ignoré si `pdfSignatureFieldId` est défini. | | `profiles.default.pdfSignatureImageHeight` | | Hauteur (en pixels) de l'image de signature dans la page du PDF. Ignoré si `pdfSignatureFieldId` est défini. | | `profiles.default.pdfSignatureImageText` | | Le texte à inclure dans l'image de signature, dans le cas d'une signature PDF visible. Le modèle peut inclure des variables optionnelles comme `{{date}}`, `{{signerOrganization}}`, `{{signerOrganizationTitle}}` et la variable obligatoire `{{signerName}}`. La date de signature peut être formatée à l'aide de la classe Java [SimpleDateFormat](https://docs.oracle.com/javase/8/docs/api/java/text/SimpleDateFormat.html), par exemple : `{{date format='dd-MM-YYYY'}}`. | | `profiles.default.pdfSignatureImageTextColor` | | Cette propriété permet de spécifier la couleur du texte dans l'image de signature. | | `profiles.default.pdfSignatureImageTextSize` | | Cette propriété permet de définir la taille du texte dans l'image de signature. | | `profiles.default.pdfHandwrittenSignatureImage` | | Demande au signataire d'inclure une représentation graphique de sa signature. | | `profiles.default.xmlSignatureXpathLocation` | | XPath du nœud parent de la signature XML. | | `profiles.default.pdfDefaultSignatureImage` | | Image de signature par défaut, encodée en base64 | | `profiles.default.xmlSignedInfoCanonicalization` | | Méthode de canonicalisation pour le SignedInfo XML. | | `profiles.default.xmlSignedPropertiesCanonicalization` | | Méthode de canonicalisation pour les propriétés signées XML. | | `profiles.default.maxDocumentSizeInMB` | | Taille maximale de document autorisée (en Mo). Si non renseignée, la valeur sera de 10 Mo. | ## Interfaces d'administration Les interfaces d'administration (API et interface graphique) peuvent être activées simplement en déclarant au moins un utilisateur administrateur dans le fichier de configuration `admins.passwd`. Le chemin du fichier `admins.passwd` est défini dans la configuration de l'application. Le fichier `admins.passwd` permet de déclarer des utilisateurs administrateurs avec leurs hachages de mot de passe respectifs, à la manière Unix. Par exemple, voici comment déclarer deux utilisateurs administrateurs (`john` et `jack`) dans le fichier `admins.passwd` : ``` john:$6$rounds=100000$GAOcXXTBkR0OcaQk$bnCMTTOWc5jw5fQ7VziaHQEpUVM/KHWKs5RUcA8blRtehYKanOS311GeGdo6TEa9okLw2xF4jw.3doxUPPY6o0 jack:$6$rounds=100000$4DUwSzeHJRevBuKW$3vfincGEEAMCRVfQwRACWgUwTQjokUQcMiCsmxtXlvsQAVApka.GJ8xkfARXQzsjxITUQ16j6YzrdUvMyJcNz/ ``` > Utilisez l'une des commandes Unix suivantes pour produire votre hachage de mot de passe : > > ```bash > # Avec mkpasswd : > mkpasswd -m sha-512 > # Ou avec openssl : > openssl passwd -6 -salt rounds=100000\$`head -c12 /dev/urandom | openssl base64` > ``` Une fois les utilisateurs administrateurs déclarés, l'interface graphique d'administration est accessible depuis un navigateur web à l'URL suivante : ``` https://{hostname}:{port}/admin ``` > Notez qu'il est fortement recommandé de : > > * désactiver les interfaces d'administration sur les instances accessibles aux utilisateurs standards, > * activer les interfaces d'administration sur les instances restreintes aux administrateurs, dans un réseau à accès limité. > Veuillez consulter les prérequis de clustering pour un déploiement multi-instances.