Phase 2.1 : preparation au deploiement public

Rend une instance exposee sur Internet exploitable sans la transformer en
infrastructure : le produit reste local-first, sans compte et sans telemetrie.

Protection du service : limitation de debit en memoire par client et par
famille d'endpoint (health et ready jamais limites), interrupteur
SHARING_ENABLED, capacite maximale de partages, taille propre aux partages.
X-Forwarded-For n'est cru que si TRUST_PROXY_HEADERS l'autorise, et on lit alors
la derniere valeur, celle ajoutee par le proxy.

Expiration facultative des partages (24 h a 90 jours, ou jamais) : un lien
expire repond 410 et la page publique le dit, sans autre detail. Le proprietaire
peut prolonger ; aucune purge automatique.

Protection des liens non repertories : robots.txt, X-Robots-Tag et meta robots
sur /s/ et /api/, Referrer-Policy no-referrer sur tout le site, redaction des
jetons dans les journaux d'acces, share_token porte a 128 bits (les anciens
restent valides).

Schema gere par Alembic, applique au demarrage. Une base creee avant Alembic est
estampillee puis migree : verifie sur la base reelle de developpement, 4
partages inchanges et expires_at NULL.

Administration par CLI locale au conteneur (stats, liste, suppression, purge,
sauvegarde a chaud via l'API SQLite, restauration prudente) : aucune interface
/admin exposee.

Le jeton de gestion peut enfin etre exporte dans un fichier .openmind-share puis
reimporte depuis un autre navigateur, apres verification aupres du serveur. Il
n'est toujours jamais ajoute a un export .mmap.

Ajoute une page /privacy dont le texte est centralise, et corrige un bug trouve
en observant les logs : Alembic, lance dans le processus applicatif,
reappliquait la configuration de logs d'alembic.ini et desactivait les loggers
existants, ce qui faisait disparaitre les journaux d'acces.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

.env.example

@@ -17,6 +17,37 @@ DATABASE_URL=sqlite:////app/data/openmind.db
 MAX_MAP_SIZE_MB=10
 MAX_NODES=5000
 
+# ---------------------------------------------------------------------------
+# Exposition publique
+# ---------------------------------------------------------------------------
+
+# false = instance entierement privee : aucune API de partage, bouton masque.
+# Les cartes locales continuent de fonctionner normalement.
+SHARING_ENABLED=true
+
+# Limites de debit, au format <nombre>/<fenetre> (second, minute, hour, day).
+# Vide ou 0 desactive la limite. Les compteurs sont en memoire : ils repartent
+# de zero au redemarrage du conteneur.
+SHARE_CREATE_RATE_LIMIT=10/hour
+SHARE_READ_RATE_LIMIT=120/minute
+SHARE_WRITE_RATE_LIMIT=60/hour
+
+# Nombre total de partages heberges. 0 = illimite.
+MAX_SHARED_MAPS=10000
+
+# Taille maximale d'un partage. 0 = reprend MAX_MAP_SIZE_MB.
+MAX_SHARE_SIZE_MB=5
+
+# Duree de vie par defaut d'un nouveau partage, en jours. 0 = permanent.
+DEFAULT_SHARE_EXPIRY_DAYS=30
+
+# Autorise l'option "Jamais" lors du choix de l'expiration.
+ALLOW_PERMANENT_SHARES=true
+
+# A activer UNIQUEMENT derriere un reverse proxy de confiance : sinon un client
+# direct pourrait falsifier X-Forwarded-For et contourner les limites de debit.
+TRUST_PROXY_HEADERS=false
+
 # Origines autorisees en CORS, separees par des virgules.
 # Vide = aucune origine externe (l'interface est servie par ce meme serveur).
 CORS_ORIGINS=