snoopy
49870dcd56
Rend une instance exposee sur Internet exploitable sans la transformer en infrastructure : le produit reste local-first, sans compte et sans telemetrie. Protection du service : limitation de debit en memoire par client et par famille d'endpoint (health et ready jamais limites), interrupteur SHARING_ENABLED, capacite maximale de partages, taille propre aux partages. X-Forwarded-For n'est cru que si TRUST_PROXY_HEADERS l'autorise, et on lit alors la derniere valeur, celle ajoutee par le proxy. Expiration facultative des partages (24 h a 90 jours, ou jamais) : un lien expire repond 410 et la page publique le dit, sans autre detail. Le proprietaire peut prolonger ; aucune purge automatique. Protection des liens non repertories : robots.txt, X-Robots-Tag et meta robots sur /s/ et /api/, Referrer-Policy no-referrer sur tout le site, redaction des jetons dans les journaux d'acces, share_token porte a 128 bits (les anciens restent valides). Schema gere par Alembic, applique au demarrage. Une base creee avant Alembic est estampillee puis migree : verifie sur la base reelle de developpement, 4 partages inchanges et expires_at NULL. Administration par CLI locale au conteneur (stats, liste, suppression, purge, sauvegarde a chaud via l'API SQLite, restauration prudente) : aucune interface /admin exposee. Le jeton de gestion peut enfin etre exporte dans un fichier .openmind-share puis reimporte depuis un autre navigateur, apres verification aupres du serveur. Il n'est toujours jamais ajoute a un export .mmap. Ajoute une page /privacy dont le texte est centralise, et corrige un bug trouve en observant les logs : Alembic, lance dans le processus applicatif, reappliquait la configuration de logs d'alembic.ini et desactivait les loggers existants, ce qui faisait disparaitre les journaux d'acces. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
40 lines
1.4 KiB
YAML
40 lines
1.4 KiB
YAML
services:
|
|
openmind:
|
|
build:
|
|
context: .
|
|
dockerfile: Dockerfile
|
|
image: openmind:latest
|
|
container_name: openmind
|
|
restart: unless-stopped
|
|
env_file:
|
|
- .env
|
|
environment:
|
|
# Le conteneur ecoute toujours sur 8080 ; APP_PORT ne change que l'hote.
|
|
APP_NAME: ${APP_NAME:-OpenMind}
|
|
DATABASE_URL: ${DATABASE_URL:-sqlite:////app/data/openmind.db}
|
|
MAX_MAP_SIZE_MB: ${MAX_MAP_SIZE_MB:-10}
|
|
MAX_NODES: ${MAX_NODES:-5000}
|
|
SHARING_ENABLED: ${SHARING_ENABLED:-true}
|
|
SHARE_CREATE_RATE_LIMIT: ${SHARE_CREATE_RATE_LIMIT:-10/hour}
|
|
SHARE_READ_RATE_LIMIT: ${SHARE_READ_RATE_LIMIT:-120/minute}
|
|
SHARE_WRITE_RATE_LIMIT: ${SHARE_WRITE_RATE_LIMIT:-60/hour}
|
|
MAX_SHARED_MAPS: ${MAX_SHARED_MAPS:-10000}
|
|
MAX_SHARE_SIZE_MB: ${MAX_SHARE_SIZE_MB:-0}
|
|
DEFAULT_SHARE_EXPIRY_DAYS: ${DEFAULT_SHARE_EXPIRY_DAYS:-30}
|
|
ALLOW_PERMANENT_SHARES: ${ALLOW_PERMANENT_SHARES:-true}
|
|
TRUST_PROXY_HEADERS: ${TRUST_PROXY_HEADERS:-false}
|
|
CORS_ORIGINS: ${CORS_ORIGINS:-}
|
|
LOG_LEVEL: ${LOG_LEVEL:-INFO}
|
|
STATIC_DIR: /app/static
|
|
ports:
|
|
- "${APP_PORT:-8080}:8080"
|
|
volumes:
|
|
# Bind mount explicite : les partages SQLite restent accessibles sur l'hote.
|
|
- ./data:/app/data
|
|
healthcheck:
|
|
test: ["CMD", "curl", "-fsS", "http://127.0.0.1:8080/api/health"]
|
|
interval: 30s
|
|
timeout: 5s
|
|
start_period: 10s
|
|
retries: 3
|