# ─────────────────────────────────────────────────────────────────────────────
# HoneyOS
#
#   cp .env.example .env  &&  ausfüllen
#   docker compose pull && docker compose up -d
#
# Apps werden NICHT hier eingetragen — die legst du in der Oberfläche an
# (Einstellungen → Programme). Sie liegen im Server unter /data/honeyos.json.
# ─────────────────────────────────────────────────────────────────────────────

HONEYOS_PORT=8088

# Wo HoneyOS von außen erreichbar ist — ohne Schrägstrich am Ende.
# Daraus entsteht die Rückrufadresse: <PUBLIC_URL>/api/auth/callback
HONEYOS_PUBLIC_URL=https://os.honeyy.duckdns.org

# Unterschreibt das Sitzungscookie. Mindestens 32 Zeichen.
#   openssl rand -hex 32
# Wird der Wert getauscht, sind alle Anmeldungen weg — sonst passiert nichts.
HONEYOS_SESSION_SECRET=

# Wo die Daten liegen (Apps + Einstellungen je Nutzer, eine JSON-Datei).
# Das ist das Einzige, was gesichert werden muss.
HONEYOS_DATA_DIR=/srv/honeyos

# ── Anmeldung ────────────────────────────────────────────────────────────────
# Leerer HONEYOS_OIDC_ISSUER = KEINE Anmeldung, jeder kommt rein. Das ist zum
# Entwickeln gedacht und gehört nicht ins offene Netz.
#
# In PocketID einen Client anlegen und dort als Rückrufadresse exakt
#   https://os.honeyy.duckdns.org/api/auth/callback
# eintragen. HoneyOS schickt PKCE mit, ein Client-Geheimnis braucht es
# trotzdem — also keinen „public client" anlegen.
HONEYOS_OIDC_ISSUER=https://id.honeyy.duckdns.org
HONEYOS_OIDC_CLIENT_ID=honeyos
HONEYOS_OIDC_CLIENT_SECRET=
# Nur nötig, wenn die Rückrufadresse von PUBLIC_URL abweicht:
# HONEYOS_OIDC_REDIRECT_URL=

# Beschriftung des einen Knopfes auf dem Anmeldeschirm.
HONEYOS_BUTTON_LABEL=Anmelden mit PocketID

# Zweiter Riegel neben den Gruppen in PocketID: nur diese Konten dürfen rein
# (Benutzername oder sub, kommagetrennt). Leer = jeder, den der Anbieter
# durchlässt.
# HONEYOS_ALLOWED_USERS=marc