OpenAI Codex — App-Server provider (`codex-app-server`) (Français)

1. Architecture

┌─ Application OmniRoute ──────────┐        ┌─ Side-car codex-app-server ─────────┐
│  CodexAppServerExecutor          │  WS    │  codex app-server                   │
│  ws://codex-app-server:1456 ─────┼───────▶│  --listen ws://0.0.0.0:1456         │
│  (+ jeton de capacité)            │  JSON  │  --ws-auth capability-token         │
│                                  │  RPC   │  gère lui-même l’OAuth OpenAI       │
└──────────────────────────────────┘        │  (~/.codex/auth.json, actualisation │
        │ partage (volumes compose)          │  automatique)                       │
        ▼                                    └─────────────────────────────────────┘
  codex-appserver-token   → le jeton de capacité WS (monté par les deux)
  codex-appserver-home    → ~/.codex (auth.json écrit par le tableau de bord,
                             lu par le codex app-server du side-car)

• Le side-car écoute uniquement sur le réseau compose interne (ws://codex-app-server:1456), derrière un jeton de capacité. Il n’est jamais exposé sur l’hôte ni sur Internet.
• La CLI Codex est intégrée à omniroute:base ; aucune installation de Codex n’est donc nécessaire sur l’hôte ni sur la machine de l’utilisateur lorsque vous exécutez le side-car.

2. Démarrage

# Démarrer la pile AVEC le profil du side-car codex app-server :
docker compose --profile base --profile codex-app-server up -d
# (podman : podman compose --profile base --profile codex-app-server up -d)

Le side-car génère son jeton de capacité WS lors du premier démarrage (dans le volume partagé codex-appserver-token) et l’application lit ce même jeton via OMNIROUTE_CODEX_APPSERVER_WS_TOKEN_FILE. Aucune configuration manuelle du jeton n’est nécessaire.

3. Connexion + authentification

1. Dans le tableau de bord, ajoutez une connexion pour OpenAI Codex (App-Server). Aucune clé API ni aucun jeton n’est requis (il s’agit d’un fournisseur sans authentification — le side-car gère l’authentification).
2. Si la CLI Codex du side-car n’est pas encore connectée, le contrôle d’état de la connexion indique « en cours d’exécution, mais non connectée » (et non une erreur d’authentification rouge). Utilisez Se connecter avec ChatGPT : cela exécute le flux OAuth standard par appareil de Codex dans votre navigateur, puis écrit ~/.codex/auth.json dans le volume partagé via Appliquer l’authentification (une même connexion dessert les fournisseurs codex et codex-app-server).
3. Une fois la connexion établie, le contrôle d’état passe au vert (il vérifie à la fois /readyz et account/read — c’est-à-dire que le service est opérationnel et authentifié) et le traitement commence.

Le tableau de bord n’écrase jamais un fichier ~/.codex/auth.json existant et valide : il n’écrit que si le fichier est absent ou si son jeton est obsolète (une sauvegarde est toujours créée).

4. Scénarios de déploiement

• Opérateur disposant déjà d’une CLI Codex authentifiée — montez le répertoire ~/.codex de votre hôte dans le side-car (codex-appserver-home) et ignorez l’étape de connexion.
• Utilisateur public sans Codex installé localement — sans importance : le side-car contient la CLI. L’utilisateur s’authentifie uniquement via le tableau de bord.
• OmniRoute sur machine physique (sans side-car, Codex sur l’hôte) — faites pointer OMNIROUTE_CODEX_APPSERVER_WS vers votre propre codex app-server et assurez-vous que Codex est connecté sur l’hôte ; l’indication « codex non installé » apparaît si le binaire est absent.

5. Sortie résidentielle / UDP (option opérateur, non fournie)

Le side-car générique ci-dessus fait transiter son trafic sortant par le réseau normal du conteneur. Un opérateur qui doit faire sortir le trafic Codex via une sortie résidentielle (par exemple, un side-car TUN tailscale transportant TCP + UDP/QUIC) l’exécute sous la forme d’une surcharge compose distincte ; celle-ci ne fait intentionnellement pas partie du profil codex-app-server fourni. Consultez le guide d’exploitation interne pour cette configuration.

---

Code source d’OmniRoute (a58000c7685f)