0028e2a79c
All checks were successful
Le repo ship desormais un docker-compose.yml qui tourne EN LOCAL sans rien configurer (`docker compose up -d` -> http://kiosk.localhost:8080 et http://admin.localhost:8080), facon projet open-source self-hostable. - docker-compose.yml : reseau interne seul, wakdo-web publie ${HTTP_PORT:-8080}:80, plus de dependance au reseau externe Traefik ni de labels. Commentaires retires. - Renommage TRAEFIK_DOMAIN_* -> APP_HOST_* (ce sont les ServerName des deux vhosts Apache, pas du Traefik) : vhost.conf + compose. Defaut local *.localhost. - .env.example : local-first (HTTP_PORT, APP_HOST_*=*.localhost, APP_URL_*/CORS sur localhost, valeurs DB dev qui marchent sans edition). Les variables proxy (REVERSE_PROXY_NETWORK) sont reclassees dans un bloc "Deploiement prod" optionnel. - Prod : chaque hote derriere un reverse proxy maintient son propre docker-compose.prod.yml (gitignore, hors repo) ; meme stack exposee via Traefik sans port hote. README : quickstart local 3 lignes + section prod separee (l'install Docker Debian inline est remplacee par un lien). Verifie : `docker compose config` valide pour les deux fichiers (base = port publie sans reverse_proxy ; prod = reverse_proxy + labels Host(APP_HOST_*) sans port). Smoke-test runtime `docker compose up` a faire sur machine propre (les container_name fixes empechent un up parallele a la stack en cours).
133 lines
5.7 KiB
Text
133 lines
5.7 KiB
Text
#
|
|
# Wakdo - template de configuration
|
|
#
|
|
# Usage :
|
|
# cp .env.example .env
|
|
# docker compose up -d
|
|
#
|
|
# Ce template fonctionne EN LOCAL tel quel (valeurs dev) : la stack est joignable
|
|
# sur http://kiosk.localhost:8080 (borne) et http://admin.localhost:8080 (admin).
|
|
# Le deploiement derriere un reverse proxy (Traefik) se fait via l'overlay
|
|
# docker-compose.prod.yml + les variables du bloc "Deploiement prod" en fin de
|
|
# fichier. En prod : changer les mots de passe, APP_DEBUG=false, vrais FQDN.
|
|
#
|
|
|
|
# ===================================================================
|
|
# Environnement applicatif
|
|
# ===================================================================
|
|
|
|
APP_ENV=dev # dev | staging | prod
|
|
APP_DEBUG=true # true en dev, false en prod
|
|
APP_TIMEZONE=Europe/Paris
|
|
|
|
# Port hote publie par wakdo-web (acces local). Change si 8080 est pris.
|
|
HTTP_PORT=8080
|
|
|
|
# Hostnames des deux vhosts Apache (ServerName). En local : *.localhost resout
|
|
# vers 127.0.0.1 nativement. En prod : les vrais FQDN (voir bloc prod en bas).
|
|
APP_HOST_KIOSK=kiosk.localhost
|
|
APP_HOST_ADMIN=admin.localhost
|
|
|
|
# URLs publiques (consommees par l'app). En local = les hostnames sur HTTP_PORT.
|
|
APP_URL_KIOSK=http://kiosk.localhost:8080
|
|
APP_URL_ADMIN=http://admin.localhost:8080
|
|
|
|
# ===================================================================
|
|
# Base de donnees (MariaDB)
|
|
# ===================================================================
|
|
# Valeurs dev ci-dessous : OK en local. EN PROD : mots de passe forts.
|
|
# wakdo-db est sur le reseau interne, aucun port expose a l'hote.
|
|
|
|
DB_HOST=wakdo-db # nom du service docker-compose
|
|
DB_PORT=3306
|
|
DB_NAME=wakdo
|
|
DB_USER=wakdo
|
|
DB_PASSWORD=wakdo_dev_password
|
|
DB_ROOT_PASSWORD=wakdo_dev_root_password
|
|
|
|
# ===================================================================
|
|
# Sessions
|
|
# ===================================================================
|
|
|
|
SESSION_LIFETIME_IDLE=14400 # 4h en secondes - idle timeout
|
|
SESSION_LIFETIME_ABSOLUTE=36000 # 10h en secondes - absolute timeout
|
|
SESSION_NAME=WAKDO_SID # nom du cookie (evite PHPSESSID)
|
|
|
|
# ===================================================================
|
|
# Securite
|
|
# ===================================================================
|
|
|
|
# Origine autorisee pour les requetes CORS de l'API. Doit correspondre
|
|
# exactement a APP_URL_KIOSK (pas de wildcard).
|
|
CORS_ALLOWED_ORIGIN=http://kiosk.localhost:8080
|
|
|
|
# Algorithme de hashage : argon2id, FIXE dans le code (App\Auth\PasswordHasher),
|
|
# choix security-by-design non configurable. Seuls les COUTS ci-dessous sont reglables.
|
|
|
|
# Parametres de cout argon2id (password_hash options). Defauts alignes OWASP
|
|
# (memoire >= 19 MiB, >= 2 iterations). Servent aussi au hash du PIN equipier.
|
|
ARGON2_MEMORY_COST=65536 # KiB (64 MiB)
|
|
ARGON2_TIME_COST=4 # nombre d'iterations
|
|
ARGON2_THREADS=1 # parallelisme (1 = portable, deterministe)
|
|
|
|
# ===================================================================
|
|
# Anti brute-force - throttling de connexion (security-by-design)
|
|
# ===================================================================
|
|
# Deux gardes : par compte (user.failed_login_attempts / lockout_until) et par IP
|
|
# (table login_throttle). Backoff degressif, pas de lock definitif.
|
|
|
|
ACCOUNT_LOCKOUT_THRESHOLD=5
|
|
ACCOUNT_LOCKOUT_BASE_SECONDS=60
|
|
ACCOUNT_LOCKOUT_MAX_SECONDS=900 # plafond du backoff (15 min)
|
|
|
|
IP_THROTTLE_WINDOW_SECONDS=900 # 15 min
|
|
IP_THROTTLE_MAX_ATTEMPTS=20 # par IP sur la fenetre
|
|
|
|
# PIN equipier pour actions sensibles. Chiffres, bornes min ET max (RG-T18).
|
|
STAFF_PIN_MIN_LENGTH=4
|
|
STAFF_PIN_MAX_LENGTH=12
|
|
|
|
# Throttle du PIN d'action sensible (RG-T22) - compteurs SEPARES du login,
|
|
# dimension = utilisateur agissant. Bornes plus permissives que le login.
|
|
PIN_THROTTLE_THRESHOLD=5
|
|
PIN_THROTTLE_BASE_SECONDS=30
|
|
PIN_THROTTLE_MAX_SECONDS=300
|
|
PIN_THROTTLE_WINDOW_SECONDS=900
|
|
|
|
# Expiration du token de reinitialisation de mot de passe (secondes).
|
|
PASSWORD_RESET_TTL=3600 # 1h
|
|
|
|
# ===================================================================
|
|
# Retention des donnees (RGPD)
|
|
# ===================================================================
|
|
# Purges executees par le service cron (docker/cron/crontab).
|
|
|
|
AUDIT_LOG_RETENTION_DAYS=365 # journal d'audit ~12 mois
|
|
THROTTLE_PURGE_AFTER_HOURS=24 # login_throttle : lignes sans lockout actif > 24h
|
|
ORDER_RETENTION_DAYS=1095 # commandes (historique/stats) ~3 ans
|
|
|
|
# ===================================================================
|
|
# Upload images produits
|
|
# ===================================================================
|
|
|
|
UPLOAD_MAX_SIZE_MB=5
|
|
UPLOAD_ALLOWED_MIME=image/jpeg,image/png,image/webp
|
|
|
|
# ===================================================================
|
|
# Cron (fenetre de maintenance 01h30 - 09h30)
|
|
# ===================================================================
|
|
|
|
CRON_TIMEZONE=Europe/Paris
|
|
|
|
# ===================================================================
|
|
# Deploiement prod (overlay docker-compose.prod.yml) - OPTIONNEL
|
|
# ===================================================================
|
|
# A ignorer pour un usage local. Necessaire UNIQUEMENT derriere un reverse proxy
|
|
# Traefik, avec : docker compose -f docker-compose.yml -f docker-compose.prod.yml up -d
|
|
#
|
|
# En prod, surcharger aussi : APP_ENV=prod, APP_DEBUG=false, mots de passe forts,
|
|
# et APP_HOST_*/APP_URL_*/CORS_ALLOWED_ORIGIN avec les vrais FQDN HTTPS.
|
|
#
|
|
# Nom du reseau Docker externe partage avec le Traefik de l'hote (doit exister
|
|
# AVANT le up : cree par la stack Traefik, ou `docker network create <nom>`).
|
|
REVERSE_PROXY_NETWORK=admin_proxy
|