Rendre le montage de la clé SSH désactivable (LIDAR_MOUNT_SSH=0)

serve-webapp.sh

@@ -97,9 +97,12 @@ cmd_start() {
         TLS_ARGS+=(-e LIDAR_SSL_CERTFILE=/app/tls/webapp.crt)
         TLS_ARGS+=(-e LIDAR_SSL_KEYFILE=/app/tls/webapp.key)
     fi
-    # Clé SSH du hôte (déploiement, git pull distant) : montée en lecture seule si présente
+    # Clé SSH du hôte (déploiement, git pull distant) : montée en lecture seule
+    # si présente. LIDAR_MOUNT_SSH=0 pour ne PAS l'exposer au conteneur
+    # (durcissement : la webapp sert des requêtes réseau, inutile d'y donner
+    # une clé privée si le git pull distant n'est pas utilisé).
     SSH_ARGS=()
-    if [ -d "${HOME}/.ssh" ]; then
+    if [ "${LIDAR_MOUNT_SSH:-1}" = "1" ] && [ -d "${HOME}/.ssh" ]; then
         SSH_ARGS+=(-v "${HOME}/.ssh:/home/lidar/.ssh:ro")
     fi
     docker rm -f "$CONTAINER" > /dev/null 2>&1 || true