trusted-public-keys ↔ substituters) et combien paralléliser sans saturer le SSD partagé. Matrice, nix.conf copiable, commandes flake.lock, retry et seuils disque. Hors Nix : GHCR & registry, FAQ disque, accueil (sans login).
Pourquoi la pile « flake + substituter » casse encore en 2026
Symptômes fréquents : recompilation malgré un nar disponible, WAN saturé, ou store SQLite coincé quand le disque approche du plein sans gc concertée.
- Politique de lockfile : imposez que
nix flake updatene merge que via une branche dédiée avec diff relu ; sinon la conformité « build reproductible » devient une promesse marketing. - Chaîne de confiance : chaque entrée de
substitutersexige la clé correspondante danstrusted-public-keys; un miroir régional placé après une URL incomplète reste invisible pour Nix. - Pression disque : corrélez
max-jobsavec l’espace libre et la bande passante disque observée ; un Mac cloud loué pour CI doit avoir la même grille de seuils que vos runners Linux pour éviter les surprises en astreinte.
Matrice : cache local, substituter distant, cache maison
Combinez conformité, latence mesurée et coût ; n’exposez pas cache.nixos.org seul si vos binaires doivent rester sur un domaine maîtrisé.
| Stratégie | Forces | Risques | Cas 2026 |
|---|---|---|---|
| Cache binaire local (store chaud) | Pas de WAN après préremplissage ; latence prévisible pour dérivations fréquentes. | Quota SSD ; invalidations quand les sorties changent. | Runner dédié qui rejoue les mêmes shells ou images système. |
| Substituter distant (public, miroir ou cache d’entreprise) | Moins d’heures CPU locales ; homogénéité si le lock est partagé. | TLS, quotas, chemins transfrontaliers ; clés à synchroniser. | Équipes distribuées acceptant des blobs hébergés hors périmètre strict. |
| Cache auto-hébergé (Attic, Harmonia, S3 + narinfo) | Souveraineté, audit, absorption des rafales CI. | Ingénierie, rotation des clés, monitoring amont. | Politique « binaires depuis notre domaine » ou forte volumétrie. |
Pour chaque pipeline, notez un chemin principal et un repli (souvent cache maison puis substituter public avec max-jobs réduit) afin que l’astreinte ne réinvente pas la matrice sous pression. Les équipes qui louent un Mac cloud fixe pour CI gagnent en général une latence et un disque plus prévisibles qu’un poste développeur intermittent, ce qui rend ces seuils plus faciles à tenir sur la durée.
Modèle nix.conf : substituters, clés, max-jobs et cores
Déployez via /etc/nix/nix.conf ou profil CI ; copiez les clés depuis la doc officielle sans les tronquer.
Partagé : max-jobs = 2, cores = 0. Dédié M4 : jusqu’à 4 si disque et thermique restent stables une semaine.
- Seuils indicatifs sur le volume du store : 80 % / 85 % / 90 % d’utilisation ou moins de 25 Go libres sur petit SSD — bloquez les nouveaux
nix buildavant la zone critique. nix-collect-garbageplanifié avec critère d’âge plutôt que-dimpulsif sur hôte multi-tenant.- Retry téléchargement : 2 → 4 → 8 → 16 s avec jitter léger, plafond 120 s sur 429/5xx ou coupures TLS, puis failover vers le substituter secondaire documenté.
Nix + Docker : aligner soigneusement la concurrence avec Git & Docker pull afin que deux politiques réseau ne se disputent jamais exactement la même fenêtre TCP sortante.
flake.lock : mise à jour ciblée, promotion et repli
Promotion = diff flake.lock relu, pas seulement build vert isolé.
Pin ponctuel : nix flake lock --override-input NOM … + note en merge request.
CI : set -euo pipefail, NIX_SSL_CERT_FILE si TLS d’entreprise, backoff avant d’échouer la matrice.
FAQ — substituters, lockfile et charge Mac
Substituter HTTP 200 mais recompilation
Vérifiez narhash, ordre des URL, parité system et features entre dev et runner.
Industrialiser la CI en cinq gestes
1 nix.conf figé. 2 df + seuils. 3 nix flake check. 4 lock en MR. 5 logs avec URL substituter.
Runner MacPull saturé après plusieurs matrices
Baissez max-jobs, espacez les builds concurrents et fenêtrez nix-collect-garbage ; ajoutez un second nœud plutôt que huit jobs lourds sur un seul NVMe plein.
Synthèse 2026 et prochain pas
Mac cloud pour pipelines Nix reproductibles
Pages ouvertes sans login : accueil, centre d’aide, achat, tarifs, blog technique (guides CI Mac 2026).