msolarczekandClaude Opus 5
c8e6f30a27
Unveränderter Stand von certvia/dev (a48c5fb) plus Craftvia-Spezifikation und Brandbook unter docs/craftvia/. ISMS-Module werden im Folgecommit entfernt. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
91 lines
4.4 KiB
Bash
91 lines
4.4 KiB
Bash
# --- Datenbank ---
|
|
POSTGRES_USER=isms
|
|
POSTGRES_PASSWORD=isms
|
|
POSTGRES_DB=isms
|
|
DATABASE_URL=postgresql://isms:isms@localhost:5432/isms?schema=public
|
|
|
|
# --- Row Level Security (F-04) â lokal AUS (Owner-Betrieb) ---
|
|
# Lokal bleibt RLS aus: Der Owner isms ist Superuser/BYPASSRLS und sieht trotz
|
|
# FORCE alle Daten. Zum scharfen Testen die beiden Zeilen aktivieren (die Rolle
|
|
# isms_app zuvor mit LOGIN+Passwort versehen, s. scripts/test-rls-enforcement.ts):
|
|
# RLS_ENFORCED=true
|
|
# RLS_DATABASE_URL=postgresql://isms_app:isms_app_local@localhost:5432/isms?schema=public
|
|
|
|
# --- Redis (BullMQ) ---
|
|
# F-18: Redis läuft mit requirepass. REDIS_PASSWORD muss zum docker-compose-Default
|
|
# passen; das Passwort steht zusätzlich in der REDIS_URL (redis://:<pw>@host:port).
|
|
REDIS_PASSWORD=isms-redis
|
|
REDIS_URL=redis://:isms-redis@localhost:6379
|
|
|
|
# --- Objektspeicher (Garage / S3-kompatibel) ---
|
|
# Sind alle vier S3_*-Pflichtvariablen gesetzt, nutzt der Storage-Adapter das echte
|
|
# S3-Backend (Byte-Speicherung + Download-Route /files/<key>). Fehlt eine davon, faellt
|
|
# der Adapter auf den Stub zurueck (nur Metadaten, keine Bytes) - kein Crash.
|
|
# Der Bucket wird NICHT automatisch angelegt (Garage bedient kein S3-CreateBucket): er
|
|
# muss vorab provisioniert sein (Compose-Service "garage-provision"). Fehlt er, wirft der
|
|
# Adapter einen sprechenden Konfigurationsfehler.
|
|
# Garage erzwingt das Key-Format: S3_ACCESS_KEY = "GK" + 24 Hex, S3_SECRET_KEY = 64 Hex.
|
|
S3_ENDPOINT=http://localhost:3900
|
|
S3_ACCESS_KEY=GKdead0000beef0000cafe0000
|
|
S3_SECRET_KEY=0000000000000000000000000000000000000000000000000000000000000001
|
|
S3_BUCKET=isms-documents
|
|
# Region beidseitig us-east-1 (deckt sich mit garage.toml s3_region). forcePathStyle ist
|
|
# im Code fest gesetzt - Garage bedient ausschliesslich Path-Style.
|
|
S3_REGION=us-east-1
|
|
|
|
# Garage-Daemon-Secrets (der Daemon liest sie aus der Env, NICHT aus deploy/garage.toml).
|
|
# Lokale Dev-Werte (unkritisch, nur localhost). Fuer eigene Stacks frisch erzeugen:
|
|
# openssl rand -hex 32
|
|
GARAGE_RPC_SECRET=0000000000000000000000000000000000000000000000000000000000000002
|
|
GARAGE_ADMIN_TOKEN=0000000000000000000000000000000000000000000000000000000000000003
|
|
|
|
# --- Backup-Zielspeicher (optional) ---
|
|
# Lane „Konfigurierbarer Backup-Zielspeicher": das Ziel der Backup-/DSGVO-Artefakte ist
|
|
# jetzt im Betreiber-Portal (/admin/backup) waehlbar (Lokal/S3) und wird in der DB
|
|
# gespeichert. Praezedenz zur Laufzeit: DB-Config → diese Env-Vars → lokaler Default.
|
|
# Ohne DB-Config gelten weiter S3_* (siehe oben) bzw. — falls unvollstaendig — der
|
|
# lokale Ordner unten. HINWEIS: sobald im Portal ein Ziel gespeichert wird, hat die
|
|
# DB-Config Vorrang vor S3_*/BACKUP_LOCAL_DIR.
|
|
# Lokaler Ordner fuer Backup-Artefakte (Dev: relativ zum cwd). In Prod auf ein
|
|
# gemountetes, persistentes Volume zeigen lassen (sonst beim Redeploy fluechtig).
|
|
BACKUP_LOCAL_DIR=.backups
|
|
|
|
# --- Auth ---
|
|
AUTH_SECRET=change-me-generate-with-openssl-rand-base64-32
|
|
# PASSWORD_PEPPER (Härtung §1): 32-Byte hex, pro Umgebung eindeutig. openssl rand -hex 32
|
|
# ⚠ NICHT rotierbar ohne Passwort-Reset für alle; NICHT aus AUTH_SECRET ableiten; NICHT ins Backup-Artefakt.
|
|
PASSWORD_PEPPER=change-me-openssl-rand-hex-32
|
|
AUTH_URL=http://localhost:3000
|
|
|
|
# --- KI-Provider (anthropic | openai) ---
|
|
AI_PROVIDER=anthropic
|
|
AI_API_KEY=
|
|
|
|
# --- Anthropic (KI-Entwurf Control-Beschreibungen, Audit-Vorbereitung) ---
|
|
# Ohne ANTHROPIC_API_KEY ist die KI-Anbindung deaktiviert (graceful degradation):
|
|
# kein Entwurf, Status bleibt âmanuell zu erfassen", die UI funktioniert weiter.
|
|
ANTHROPIC_API_KEY=
|
|
# Optionale Modell-ID; Default: claude-opus-5
|
|
ANTHROPIC_MODEL=claude-opus-5
|
|
|
|
# --- E-Mail / SMTP (SEC1) ---
|
|
# Dev: Mailpit oder Mailhog (docker-compose Service `mailhog`, SMTP auf 1025,
|
|
# Weboberflaeche auf 8025). Gegen localhost wird TLS bewusst nicht erzwungen.
|
|
# Prod: dedizierte Absenderdomain mit SPF, DKIM und DMARC â Vorbedingung vor
|
|
# dem ersten Produktivversand. Secrets ausschliesslich aus dem Secret-Store.
|
|
SMTP_HOST=localhost
|
|
SMTP_PORT=1025
|
|
# true = implizites TLS (Port 465), false = STARTTLS (587). Ohne Angabe wird
|
|
# aus dem Port abgeleitet.
|
|
SMTP_SECURE=false
|
|
SMTP_USER=
|
|
SMTP_PASSWORD=
|
|
# Absenderadresse und Anzeigename. MAIL_FROM/MAIL_FROM_NAME werden als Alias
|
|
# ebenfalls akzeptiert.
|
|
SMTP_FROM=no-reply@certvia.de
|
|
MAIL_FROM_NAME=Certvia
|
|
# Optionale Antwortadresse (sonst keine Reply-To-Kopfzeile).
|
|
MAIL_REPLY_TO=
|
|
# Basis fuer absolute Links in Mails. Faellt auf AUTH_URL zurueck.
|
|
APP_BASE_URL=http://localhost:3000
|