marcandClaude Opus 5
86da975424
Auf Marcs Wunsch. Die bisherige Vorgabe 127.0.0.1 passt nur, wenn der Reverse Proxy auf demselben Rechner läuft – steht er woanders (bei Marc auf einem VPS), kommt er an loopback gar nicht heran, und die Vorgabe war schlicht der falsche Wert für den häufigeren Fall. Der Preis steht jetzt an allen drei Stellen dabei, statt nur gemeint zu sein: Der Port ist dann auch aus dem eigenen Netz offen, und TLS endet erst am Proxy. Im README dazu eine Tabelle, welcher Wert zu welchem Aufbau gehört – eigener Rechner, anderer Rechner, Tunnel, oder Proxy im selben Docker-Netz (dann braucht es gar kein ports:). build/docker-compose.yml behält 127.0.0.1: Das ist die Entwicklungsumgebung auf diesem Rechner, dort ist loopback richtig. Gegengeprüft: Frische Kopie aus den Beispieldateien veröffentlicht auf 0.0.0.0; APP_BIND=127.0.0.1 in der .env engt wieder auf loopback ein. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
164 lines
9.1 KiB
Bash
164 lines
9.1 KiB
Bash
# Aether – alle Einstellungen des Betriebs. cp .env.example .env
|
||
#
|
||
# Hier steht, was die ANWENDUNG liest. Nichts davon hängt daran, ob du das
|
||
# fertige Abbild ziehst (docker-compose.example.yml) oder selbst baust
|
||
# (build/docker-compose.yml) – zum Entwickeln: cp .env.example build/.env
|
||
#
|
||
# Was NICHT hier steht: die Schalter des mitgelieferten Collabora-Containers
|
||
# (aliasgroup1, ssl, Port). Die gehören zum Compose, das ihn startet, und
|
||
# stehen kommentiert in build/docker-compose.yml. Wer Office selbst betreibt,
|
||
# richtet sie in dessen eigener Compose-Datei ein.
|
||
#
|
||
# Zwei Fallen beim Bearbeiten:
|
||
# $ im Wert → als $$ schreiben, sonst schneidet Compose ab
|
||
# Kommentar hinter einem LEEREN Wert → der Kommentar wird zum Wert
|
||
# Erklärungen und Fallstricke: README.md, Abschnitt „Einstellungen"
|
||
|
||
# ══ Pflicht ═══════════════════════════════════════════════════════════════════
|
||
|
||
APP_ENV=production # development | production
|
||
# Adresse, unter der der BROWSER die Cloud sieht. Ohne Schrägstrich am Ende.
|
||
# Ein falscher Wert startet klaglos und fällt erst auf, wenn ein Freigabe-Link
|
||
# oder ein OIDC-Rücksprung ins Leere zeigt.
|
||
PUBLIC_URL=https://cloud.example.com
|
||
# openssl rand -hex 32
|
||
SESSION_SECRET=
|
||
|
||
# DB_HOST ist der Dienstname aus dem Compose, nicht localhost.
|
||
DB_HOST=postgres
|
||
DB_PORT=5432
|
||
DB_NAME=aether
|
||
DB_USER=aether
|
||
# Jedes Zeichen erlaubt – nur ein $ muss $$ heißen oder der Wert in
|
||
# 'einfache Anführungszeichen'. Sonst schneidet Compose lautlos ab. (README)
|
||
DB_PASSWORD=
|
||
|
||
# Verzeichnis auf dem Wirt. Nur lesend anfassen – zum Hineinlegen: WebDAV.
|
||
DATA_PATH=/pfad/zu/aether-data
|
||
# `id -u` / `id -g` – sonst gehören die Dateien einem Container-Nutzer.
|
||
APP_UID=1000
|
||
APP_GID=1000
|
||
|
||
# ══ Erster Start ══════════════════════════════════════════════════════════════
|
||
# Legt den Admin an. Danach ADMIN_PASSWORD leeren – das Konto bleibt.
|
||
# Auch hier: ein $ muss $$ heißen (siehe DB_PASSWORD).
|
||
ADMIN_USERNAME=admin
|
||
ADMIN_PASSWORD=
|
||
|
||
# ══ Reverse Proxy ═════════════════════════════════════════════════════════════
|
||
# IPs/CIDRs der Proxys, denen X-Forwarded-For/-Proto geglaubt wird. Steht hier
|
||
# das Falsche, sieht die Anwendung überall die IP des Proxys – Rate-Limit und
|
||
# Audit-Log werden damit wertlos, ohne dass etwas nach Fehler aussieht.
|
||
TRUSTED_PROXIES=172.18.0.1
|
||
# Port auf dem Wirt. Im Container bleibt es 8080.
|
||
APP_PORT=8080
|
||
# Wer den Port erreichen darf.
|
||
# 0.0.0.0 alles, was den Server im Netz erreicht (Vorgabe)
|
||
# 127.0.0.1 nur dieser Rechner – richtig, wenn der Reverse Proxy hier läuft
|
||
# 10.0.0.5 eine bestimmte Adresse, etwa das Ende eines WireGuard-Tunnels
|
||
#
|
||
# Die Vorgabe ist 0.0.0.0, weil der Proxy typischerweise woanders steht und
|
||
# 127.0.0.1 ihn gar nicht erst herankommen ließe. Der Preis: Der Port ist auch
|
||
# aus dem eigenen Netz offen, und TLS endet erst am Proxy – bis dahin liegt die
|
||
# Anmeldung unverschlüsselt im Netz. Wer den Proxy auf demselben Rechner hat,
|
||
# setzt hier 127.0.0.1 und ist besser dran.
|
||
APP_BIND=0.0.0.0
|
||
APP_LISTEN_ADDR=:8080 # im Container; der Proxy leitet hierher
|
||
|
||
# ══ Sitzung ═══════════════════════════════════════════════════════════════════
|
||
# Wie lange eine Anmeldung gilt – **ab der letzten Benutzung**, nicht ab dem
|
||
# Anmelden. Wer die Cloud regelmäßig öffnet, bleibt angemeldet; wer sie so
|
||
# lange nicht anfasst, meldet sich neu an. 2592000 = 30 Tage.
|
||
#
|
||
# Kürzer ist sinnvoll, wenn mehrere Leute denselben Rechner benutzen. Alle
|
||
# Sitzungen sofort beenden: SESSION_SECRET wechseln und neu starten.
|
||
SESSION_MAX_AGE=2592000 # Sekunden
|
||
|
||
# ══ Speicher ══════════════════════════════════════════════════════════════════
|
||
STORAGE_PATH=/data # im Container
|
||
TMP_PATH=/data/tmp
|
||
# Frühere Fassungen je Datei. Greift nur bei eingeschaltetem „Keep versions".
|
||
MAX_VERSIONS_KEPT=5
|
||
|
||
# ══ Anmeldung über einen Identitätsanbieter (optional) ════════════════════════
|
||
# Leerer OIDC_ISSUER = aus. Sonst die vollständige ADRESSE des Anbieters,
|
||
# z. B. https://id.example.com – nicht seinen Namen. Falsch gesetzt bricht der
|
||
# Start ab.
|
||
OIDC_ISSUER=
|
||
OIDC_CLIENT_ID=aether
|
||
OIDC_CLIENT_SECRET=
|
||
# Muss EXAKT <PUBLIC_URL>/api/v1/auth/oidc/callback sein.
|
||
OIDC_REDIRECT_URL=https://cloud.example.com/api/v1/auth/oidc/callback
|
||
# Bestehendes Konto gleichen Namens mit der Identität verbinden, statt ein
|
||
# zweites anzulegen. VOR der ersten Anmeldung setzen – danach ist es zu spät.
|
||
# Nur bei einem Anbieter, dem die Namen gehören: Bei freier Registrierung wäre
|
||
# es die Übernahme fremder Konten.
|
||
OIDC_LINK_BY_USERNAME=false
|
||
# Beschriftung des Knopfes auf der Anmeldeseite.
|
||
OIDC_BUTTON_LABEL=Sign in with SSO / OIDC
|
||
|
||
# ══ Office (optional) ═════════════════════════════════════════════════════════
|
||
# Leer = aus, auch wenn ein Office-Container läuft.
|
||
# Compose-Schnipsel für Collabora, OnlyOffice und Euro-Office: README.md
|
||
# collabora | onlyoffice (auch Euro-Office)
|
||
OFFICE_PROVIDER=
|
||
|
||
# Drei Adressen für drei Richtungen – die häufigste Fehlerquelle.
|
||
#
|
||
# Backend → Office. Port je nach Anbieter:
|
||
# Collabora http://office:9980
|
||
# OnlyOffice/Euro-Office http://office
|
||
OFFICE_URL=http://office:9980
|
||
# Browser → Office. Deine Domain oder LAN-IP, nicht der Compose-Name.
|
||
OFFICE_PUBLIC_URL=https://office.example.com
|
||
# Office → Aether.
|
||
#
|
||
# **Bei Collabora die öffentliche Adresse der Cloud**, nicht app:8080: Aus
|
||
# diesem Wert baut Collabora sein frame-ancestors, und der Browser darf den
|
||
# Rahmen sonst nicht zeigen ("Framing … violates 'frame-ancestors …'").
|
||
# Collabora holt die Datei dann über deinen Reverse Proxy.
|
||
OFFICE_WOPI_URL=https://cloud.example.com
|
||
# Gegen SSRF: was das Backend anfragen darf. Der Host aus OFFICE_URL zählt
|
||
# immer dazu.
|
||
OFFICE_ALLOWED_HOSTS=office
|
||
# Nur OnlyOffice/Euro-Office, mind. 32 Zeichen: openssl rand -hex 32
|
||
# Muss mit JWT_SECRET des Office-Containers übereinstimmen. Ohne ihn schlägt
|
||
# das Wandeln nach PDF fehl (der Server antwortet `{"error":-8}`). Für den
|
||
# WOPI-Weg wird er nicht gebraucht, der hat eigene Token.
|
||
OFFICE_JWT_SECRET=
|
||
OFFICE_INSECURE_TLS=false # nur für Tests mit selbstsigniertem Zertifikat
|
||
|
||
# ══ Volltextsuche (OCR) ═══════════════════════════════════════════════════════
|
||
# Standardmäßig an; fehlen ocrmypdf/tesseract, schaltet es sich selbst ab.
|
||
# OCR_ENABLED=false
|
||
# OCR_LANGUAGES=deu+eng # weitere brauchen ein apk-Paket im Dockerfile
|
||
# OCR_MAX_PAGES=50 # 0 = unbegrenzt; rund 1 Minute je Seite
|
||
# OCR_TIMEOUT=10m # Notbremse je Datei
|
||
|
||
# ══ App-Umschalter (optional) ═════════════════════════════════════════════════
|
||
# Andere selbst gehostete Apps im Menü der Seitenleiste.
|
||
# EXTERNAL_APPS=InkNote|https://notes.example.com|📝
|
||
|
||
# ══ HoneyOS-Leiste (optional) ═════════════════════════════════════════════════
|
||
# Ursprung, von dem die Leiste geladen wird. Wird an zwei Stellen gebraucht und
|
||
# kommt deshalb aus einer Quelle: die CSP erlaubt ihn (script-src +
|
||
# connect-src), und die Oberfläche lädt das Skript von dort nach.
|
||
# Wirkt beim **Neustart** – kein Neubau nötig.
|
||
# Leer = keine Leiste, und die CSP bleibt so eng wie ohne sie.
|
||
HONEYBAR_ORIGIN=
|
||
# Ausweis, mit dem sich die Leiste die App-Liste holt. Muss zu HONEYOS_APPS_KEY
|
||
# drüben passen. Nur nötig, wenn HoneyOS auf einer anderen Site liegt als
|
||
# Aether – dann schickt der Browser die HoneyOS-Sitzung nicht mit.
|
||
HONEYBAR_KEY=
|
||
|
||
# ══ Später ════════════════════════════════════════════════════════════════════
|
||
# NOCH NICHT GEBAUT – Notiz, kein Schalter. Gesucht wird derzeit mit der
|
||
# Volltextsuche von Postgres; diese beiden Werte liest niemand.
|
||
# MEILISEARCH_URL=http://meilisearch:7700
|
||
# MEILISEARCH_KEY=
|
||
|
||
# ══ WebDAV ════════════════════════════════════════════════════════════════════
|
||
# Läuft unter /dav/, kein Schalter nötig. Der Proxy muss
|
||
# PROPFIND/MKCOL/MOVE/COPY durchreichen. Anmeldung ausschließlich mit
|
||
# App-Passwörtern, nie mit dem Kontopasswort.
|