services:
  syncova-policies:
    image: git.jfritzsche.de/jf/syncova-policies:latest
    # Zum lokalen Bauen stattdessen:
    # build: .
    container_name: syncova-policies
    restart: unless-stopped
    ports:
      - "3000:3000"
    environment:
      # Pflicht – erzeugen mit:
      #   node -e "console.log(require('crypto').randomBytes(32).toString('base64'))"
      # Wird das Secret nachträglich geändert, sind alle Sitzungen ungültig.
      NEXTAUTH_SECRET: ${NEXTAUTH_SECRET:?NEXTAUTH_SECRET muss gesetzt sein}
      DATABASE_URL: file:/app/data/syncova.db

      # Name, unter dem die Anwendung auftritt (Kopfzeile, Fußzeile,
      # Seitentitel, Druckfassung). Leer lassen für „Syncova Policies“.
      APP_COMPANY_NAME: ${APP_COMPANY_NAME:-}

      # NEXTAUTH_URL bewusst NICHT vorbelegt: Die Anwendung erkennt Host und
      # Port selbst aus der Anfrage (trustHost). Ein fester Wert würde
      # Weiterleitungen auf genau diesen Port zwingen. Nur setzen, wenn ein
      # Reverse-Proxy keine X-Forwarded-Header schickt:
      # NEXTAUTH_URL: https://datenschutz.example.de

      # Erster Admin-Zugang, nur beim allerersten Start relevant.
      # ADMIN_PASSWORD leer lassen -> Zufallspasswort, wird einmalig ins
      # Container-Log geschrieben (docker compose logs syncova-policies).
      ADMIN_EMAIL: ${ADMIN_EMAIL:-admin@syncova.de}
      ADMIN_NAME: ${ADMIN_NAME:-Administrator}
      ADMIN_PASSWORD: ${ADMIN_PASSWORD:-}
    volumes:
      - syncova-data:/app/data

volumes:
  syncova-data: