docker-compose.yml

# Piloti — stack prod.
#
# Architecture : Internet → Cloudflare CDN/WAF → cloudflared tunnel
#                 → Traefik → app Next.js
#
# ZERO port exposé sur la machine hôte. Tout trafic entrant transite par
# le tunnel Cloudflare (chiffré, NAT-traversal, sans IP publique).
#
# Démarrage :
#   cp .env.example .env  &&  $EDITOR .env
#   docker compose build
#   docker compose up -d
#
# Logs :       docker compose logs -f app
# Migration :  appliquée automatiquement par le service `migrate` au boot.

services:
  # ---------------------------------------------------------------------------
  # Migrations Prisma — one-shot, exit 0, l'app ne démarre qu'après.
  # ---------------------------------------------------------------------------
  migrate:
    build:
      context: .
      target: migrate
      args:
        NODE_IMAGE_TAG: ${NODE_IMAGE_TAG:?NODE_IMAGE_TAG manquant (voir .env.example)}
    image: piloti:migrate
    environment:
      DATABASE_URL: file:/data/piloti.db
    volumes:
      - piloti-data:/data
    networks:
      - internal
    restart: "no"

  # ---------------------------------------------------------------------------
  # App Next.js. Pas de `ports:` → uniquement accessible via Traefik.
  # ---------------------------------------------------------------------------
  app:
    build:
      context: .
      target: runner
      args:
        NODE_IMAGE_TAG: ${NODE_IMAGE_TAG:?NODE_IMAGE_TAG manquant (voir .env.example)}
    image: piloti:latest
    environment:
      NODE_ENV: production
      DATABASE_URL: file:/data/piloti.db
      BETTER_AUTH_SECRET: ${BETTER_AUTH_SECRET:?BETTER_AUTH_SECRET manquant}
      BETTER_AUTH_URL: ${BETTER_AUTH_URL:?BETTER_AUTH_URL manquant}
      # Emails (Resend) + notifications push (VAPID) — optionnels : vides → canal désactivé.
      RESEND_API_KEY: ${RESEND_API_KEY:-}
      RESEND_FROM_EMAIL: ${RESEND_FROM_EMAIL:-}
      VAPID_PUBLIC_KEY: ${VAPID_PUBLIC_KEY:-}
      VAPID_PRIVATE_KEY: ${VAPID_PRIVATE_KEY:-}
      VAPID_SUBJECT: ${VAPID_SUBJECT:-}
      # #163 — durée de conservation du journal d'audit, en années. Vide = 10.
      # Une valeur invalide empêche l'app de démarrer (src/lib/audit-retention.ts).
      AUDIT_RETENTION_YEARS: ${AUDIT_RETENTION_YEARS:-}
      # LEGAL-02 / CONF-01 — identité légale publiée dans /mentions-legales,
      # /cgu et /confidentialite. OBLIGATOIRES : les mentions légales sont une
      # obligation (LCEN art. 6-III) et une instance qui les publierait vides
      # serait en infraction — mieux vaut un déploiement qui refuse de démarrer
      # qu'une page légale incomplète en ligne. Même garde-fou que
      # BETTER_AUTH_SECRET ci-dessus.
      ORG_NAME: ${ORG_NAME:?ORG_NAME manquant (éditeur du site au sens LCEN)}
      ORG_GROUP: ${ORG_GROUP:?ORG_GROUP manquant (groupe SGDF desservi par l'instance)}
      ORG_ADDRESS: ${ORG_ADDRESS:?ORG_ADDRESS manquant (adresse postale du siège)}
      ORG_EMAIL: ${ORG_EMAIL:?ORG_EMAIL manquant (contact général du groupe)}
      ORG_PRIVACY_EMAIL: ${ORG_PRIVACY_EMAIL:?ORG_PRIVACY_EMAIL manquant (référent RGPD)}
      ORG_PUBLICATION_DIRECTOR: ${ORG_PUBLICATION_DIRECTOR:?ORG_PUBLICATION_DIRECTOR manquant (directeur de la publication)}
      ORG_HOSTING_PROVIDER: ${ORG_HOSTING_PROVIDER:?ORG_HOSTING_PROVIDER manquant (nom et localisation de l'hébergeur)}
    volumes:
      - piloti-data:/data
      - piloti-uploads:/app/var/uploads
    depends_on:
      migrate:
        condition: service_completed_successfully
    healthcheck:
      test: ["CMD", "wget", "-qO-", "http://localhost:3000/api/health"]
      interval: 30s
      timeout: 3s
      start_period: 15s
      retries: 3
    networks:
      # `internal` : chemin app↔traefik (isolé d'Internet). Traefik route via ce
      # réseau (cf. label traefik.docker.network ci-dessous).
      - internal
      # `tunnel` (non-internal) : SORTIE Internet nécessaire aux notifications
      # push (passerelles Apple/Google/Mozilla) et aux emails (Resend). Aucun
      # port n'est publié → l'ENTRÉE reste uniquement via Traefik→cloudflared.
      - tunnel
    restart: unless-stopped
    labels:
      - "traefik.enable=true"
      - "traefik.docker.network=piloti_internal"
      - "traefik.http.routers.piloti.rule=Host(`${TRAEFIK_DOMAIN:?TRAEFIK_DOMAIN manquant}`)"
      - "traefik.http.routers.piloti.entrypoints=web"
      - "traefik.http.routers.piloti.middlewares=security-headers@file,rate-limit@file"
      - "traefik.http.services.piloti.loadbalancer.server.port=3000"

  # ---------------------------------------------------------------------------
  # Traefik — reverse proxy interne. Pas de dashboard exposé en prod.
  # ---------------------------------------------------------------------------
  traefik:
    # v3.6 minimum pour parler à un daemon Docker Engine 29+ (API >= 1.45).
    # v3.3 négocie API 1.24 en dur et plante en startup avec Docker 29.
    image: traefik:${TRAEFIK_IMAGE_TAG:?TRAEFIK_IMAGE_TAG manquant (voir .env.example)}
    command:
      - "--providers.docker=true"
      - "--providers.docker.exposedbydefault=false"
      - "--providers.docker.network=piloti_internal"
      - "--providers.file.directory=/etc/traefik/config"
      - "--providers.file.watch=true"
      - "--entrypoints.web.address=:80"
      - "--ping=true"
      # Pas de --api.dashboard=true → pas d'exposition admin
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
      - ./traefik/config:/etc/traefik/config:ro
    # SELinux (Fedora/RHEL) bloque l'accès au docker.sock depuis le conteneur.
    # On désactive le label SELinux uniquement pour ce service — Traefik est
    # déjà confiné par son réseau (pas de port exposé) + un sock en read-only.
    security_opt:
      - label=disable
    healthcheck:
      test: ["CMD", "traefik", "healthcheck", "--ping"]
      interval: 30s
      timeout: 3s
      retries: 3
    networks:
      - internal
      - tunnel
    restart: unless-stopped

  # ---------------------------------------------------------------------------
  # Cloudflared — tunnel sortant vers Cloudflare. Token-based.
  # ---------------------------------------------------------------------------
  cloudflared:
    image: cloudflare/cloudflared:${CLOUDFLARED_IMAGE_TAG:?CLOUDFLARED_IMAGE_TAG manquant (voir .env.example)}
    command: tunnel --no-autoupdate run
    environment:
      TUNNEL_TOKEN: ${CLOUDFLARE_TUNNEL_TOKEN:?CLOUDFLARE_TUNNEL_TOKEN manquant}
    healthcheck:
      test: ["CMD", "cloudflared", "--version"]
      interval: 60s
      timeout: 5s
      retries: 3
    networks:
      - tunnel
    restart: unless-stopped
    depends_on:
      traefik:
        condition: service_healthy

networks:
  # Réseau "internal" — TOTALEMENT isolé d'Internet. app↔traefik uniquement.
  # `internal: true` empêche l'app de faire des appels sortants intempestifs.
  internal:
    internal: true
  # Réseau "tunnel" — non-internal car cloudflared a besoin d'Internet pour
  # joindre l'edge Cloudflare. traefik est dual-homed sur les 2 réseaux.
  tunnel:

volumes:
  piloti-data:
  piloti-uploads: