patron/.env.docker.example at main · matematicsolutions/patron · GitHub

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
# =============================================================================
# Patron - sekrety i konfiguracja docker-compose
# Skopiuj do `.env.docker` i wypelnij wartosciami z TWOJEJ instancji Supabase/S3.
# =============================================================================

# ---- Porty hostowe (mozna zmienic gdy kolizja) -------------------------------
BACKEND_PORT=3001
FRONTEND_PORT=3000

# ---- URL-e widoczne dla uzytkownika -----------------------------------------
# Publiczny adres na ktorym dziala frontend (uzywany dla CORS).
FRONTEND_URL=http://localhost:3000
# Publiczny adres backendu (zaszyty w bundlu klienckim Next).
NEXT_PUBLIC_API_BASE_URL=http://localhost:3001

# ---- Supabase ---------------------------------------------------------------
# Adres TWOJEJ instancji Supabase (typowo http://kong:8000 w lokalnym stacku
# lub publiczny URL gdy chmurowy).
SUPABASE_URL=http://supabase-kong:8000
NEXT_PUBLIC_SUPABASE_URL=http://localhost:8000

# Anon key (publiczny - zaszyty w kliencie). Z `docker/utils/generate-keys.sh`.
NEXT_PUBLIC_SUPABASE_PUBLISHABLE_DEFAULT_KEY=eyJhbGc...

# Service role key (TYLKO BACKEND - nie wrzucac do bundla klienta).
SUPABASE_SECRET_KEY=eyJhbGc...

# ---- Storage (S3 / R2 / MinIO) ----------------------------------------------
# Lokalnie: MinIO. Produkcyjnie: Cloudflare R2 albo AWS S3.
R2_ENDPOINT_URL=http://minio:9000
R2_ACCESS_KEY_ID=minioadmin
R2_SECRET_ACCESS_KEY=replace-with-strong-secret
R2_BUCKET_NAME=patron

# ---- HMAC dla download tokens (osobny sekret, niezalezny od Supabase) ------
# Wygeneruj: openssl rand -hex 32
DOWNLOAD_SIGNING_SECRET=replace-with-32-byte-hex

# ---- Szyfrowanie kluczy API uzytkownikow ------------------------------------
# Wygeneruj: openssl rand -hex 32
USER_API_KEYS_ENCRYPTION_SECRET=replace-with-long-random-secret

# ---- Modele LLM (bring-your-own-model) --------------------------------------
GEMINI_API_KEY=
ANTHROPIC_API_KEY=
OPENAI_API_KEY=

# ---- Mailer (opcjonalnie) ---------------------------------------------------
RESEND_API_KEY=

# ---- Prometheus metrics endpoint IP whitelist (ADR-0037) --------------------
# CSV adresow IP ktore moga scrapowac GET /metrics. Brak env = endpoint 404
# (disabled). Standardowo monitoring stack kancelarii ma jeden IP scrapera.
# Przyklad: METRICS_ALLOWED_IPS=10.0.0.5,192.168.1.100
METRICS_ALLOWED_IPS=

# ---- MCP Security Gateway tryb pracy (ADR-0042) -----------------------------
# Wartosci: "enforce" (blokuje toole z decyzja denied/human_review)
#         / "audit" (loguje wszystko, nie blokuje)
#         / "off" (no-op, default fail-safe gdy brak env)
# Restart kontenera = nowa wartosc. UI banner w panelu admin czyta ta zmienna
# zeby pokazac stan kontroli operatorowi kancelarii (Konstytucja Art. 3, 6).
MCP_SECURITY_GATEWAY_MODE=off