# Caddy - Beispiel für die Timer App
#
# Caddy holt und erneuert das Zertifikat selbst. Bei dieser Variante
# in der .env COOKIE_SECURE=true und HOST=127.0.0.1 setzen.

timer.firma.example {
	header {
		Strict-Transport-Security "max-age=31536000; includeSubDomains"
		X-Frame-Options "SAMEORIGIN"
		X-Content-Type-Options "nosniff"
		Referrer-Policy "no-referrer"
		# Die Seite laedt die Portal-Kopfleiste von portal.handy-insel.de.
		# Wer hier eine Content-Security-Policy setzt, muss diese Quellen erlauben
		# (sonst blockiert der Browser die Leiste), jeweils zusaetzlich zu den
		# vorhandenen Quellen (die App nutzt Inline-Styles und onclick-Handler):
		#   script-src  ... https://portal.handy-insel.de
		#   connect-src ... https://portal.handy-insel.de
		#   img-src     ... https://portal.handy-insel.de https://login.handy-insel.de
	}

	reverse_proxy 127.0.0.1:3003 {
		# /health antwortet ohne Anmeldung
		health_uri /health
		health_interval 30s
		health_timeout 10s
	}

	log {
		output file /var/log/caddy/timer.log {
			roll_size 100mb
			roll_keep 5
		}
	}
}

# ---------------------------------------------------------------------------
# Variante: nur im internen Netz, ohne öffentliches Zertifikat.
# Caddy stellt dann ein selbstsigniertes Zertifikat aus (Browser-Warnung beim
# ersten Aufruf). COOKIE_SECURE darf hier true bleiben, weil HTTPS gesprochen
# wird.
#
# https://timer.intern:443 {
# 	tls internal
# 	reverse_proxy 127.0.0.1:3003
# }