# Aether – das Nötigste für eine neue Umgebung.
#
#   cp .env.example .env
#
# Vollständige Liste aller Schalter (OIDC, OCR, Thumbnails, Kontingente …):
# deploy/.env.example

# ── Pflicht ───────────────────────────────────────────────────────────────────

# Wie die Cloud von außen erreichbar ist. Wird für OIDC-Rücksprünge,
# WOPI-Rückrufe und Freigabe-Links benutzt – ein falscher Wert fällt erst
# dort auf, nicht beim Start.
PUBLIC_URL=https://cloud.example.com

# openssl rand -hex 32
SESSION_SECRET=

DB_NAME=aether
DB_USER=aether
DB_PASSWORD=

# Wohin die Dateien auf dem Wirt kommen. Ein gewöhnliches Verzeichnis, kein
# Docker-Volume – so kommst du per SFTP oder Dateimanager daran.
DATA_PATH=/pfad/zu/aether-data

# `id -u` und `id -g`. Ohne das gehören die Dateien einem Container-Nutzer.
APP_UID=1000
APP_GID=1000

# ── Reverse Proxy ─────────────────────────────────────────────────────────────

# X-Forwarded-For/-Proto werden NUR von diesen Adressen geglaubt. Steht hier
# das Falsche, sieht die Anwendung überall die IP des Proxys – Rate-Limit und
# Audit-Log werden damit wertlos.
TRUSTED_PROXIES=172.18.0.1

# Port auf dem Wirt, gebunden auf loopback. Im Container bleibt es 8080.
APP_PORT=8080

# ── Erster Start ──────────────────────────────────────────────────────────────

# Legt beim allerersten Start den Admin an. Danach hier leeren – das Konto
# bleibt, das Passwort steht sonst dauerhaft in der Datei.
ADMIN_USERNAME=admin
ADMIN_PASSWORD=

# ── Office (optional) ─────────────────────────────────────────────────────────
# Leer lassen = aus. Sonst `docker compose --profile office up -d`.
#
# Drei Adressen für drei Richtungen, und sie sind selten gleich:
#   OFFICE_URL         Backend → Office-Server
#   OFFICE_PUBLIC_URL  Browser → Office-Server
#   OFFICE_WOPI_URL    Office-Server → Aether  (NICHT localhost – aus seinem
#                      Container heraus ist das er selbst)
OFFICE_PROVIDER=
OFFICE_URL=http://collabora:9980
OFFICE_PUBLIC_URL=https://office.example.com
OFFICE_WOPI_URL=http://app:8080
# Ziele, die das Backend anfragen darf – gegen SSRF.
OFFICE_ALLOWED_HOSTS=collabora
OFFICE_ALIASGROUP=http://app:8080

# Hinter deinem Reverse Proxy mit HTTPS: beide auf true.
OFFICE_SSL=false
OFFICE_SSL_TERMINATION=true
OFFICE_PORT=9980