Initial

deploy/nginx/ekdos.conf

@@ -0,0 +1,97 @@
+# EK-DOS-WEB
+#
+# nginx macht beides: es liefert das statisch gebaute React-Bündel aus und
+# reicht ausschliesslich /api/ an php-fpm weiter. Auf dem Server läuft kein
+# Node und kein Anwendungsserver -- nur nginx und php8.5-fpm.
+#
+# Ablage:  /etc/nginx/sites-available/ekdos.conf  ->  sites-enabled/
+# Prüfen:  nginx -t && systemctl reload nginx
+
+upstream ekdos_php {
+    # Unix-Socket statt TCP: kein Netzwerkstack, keine offene Portnummer.
+    server unix:/run/php/ekdos.sock;
+}
+
+server {
+    listen 80;
+    listen [::]:80;
+    server_name schulung.elektro-krueger.local;
+
+    # Hinter einem TLS-Terminator (Cloudflare, vorgelagertes nginx) diesen Block
+    # entfernen und stattdessen den 443-Block unten verwenden.
+    return 301 https://$host$request_uri;
+}
+
+server {
+    listen 443 ssl;
+    listen [::]:443 ssl;
+    http2 on;
+    server_name schulung.elektro-krueger.local;
+
+    ssl_certificate     /etc/ssl/ekdos/fullchain.pem;
+    ssl_certificate_key /etc/ssl/ekdos/privkey.pem;
+    ssl_protocols       TLSv1.2 TLSv1.3;
+
+    # Das gebaute Bündel aus dem Gitea-Lauf.
+    root  /var/www/ekdos/current;
+    index index.html;
+
+    # Die Anwendung ist intern; sie gehört in keinen Suchindex.
+    add_header X-Robots-Tag "noindex, nofollow" always;
+    add_header X-Content-Type-Options "nosniff" always;
+    add_header X-Frame-Options "SAMEORIGIN" always;
+    add_header Referrer-Policy "same-origin" always;
+
+    # Rechnungen und Serviceberichte sind mehrere Megabyte gross.
+    client_max_body_size 32m;
+
+    # ── Statische Oberfläche ──────────────────────────────────────────────
+    # Vite vergibt Inhaltshashes, deshalb dürfen die Bündel dauerhaft im Cache
+    # liegen. Nur index.html darf das nicht, sonst sieht niemand ein Update.
+    location /assets/ {
+        expires 1y;
+        add_header Cache-Control "public, immutable";
+        try_files $uri =404;
+    }
+
+    location = /index.html {
+        add_header Cache-Control "no-store";
+    }
+
+    # Einseitenanwendung: jede unbekannte Adresse bekommt index.html.
+    location / {
+        try_files $uri $uri/ /index.html;
+    }
+
+    # ── Backend ───────────────────────────────────────────────────────────
+    location /api/ {
+        include       fastcgi_params;
+        fastcgi_pass  ekdos_php;
+
+        # Einziger Einstiegspunkt. Es gibt keine weiteren .php-Dateien im Web.
+        fastcgi_param SCRIPT_FILENAME /var/www/ekdos/backend/public/index.php;
+        fastcgi_param SCRIPT_NAME     /index.php;
+        fastcgi_param DOCUMENT_ROOT   /var/www/ekdos/backend/public;
+
+        # Der Rechnungsabgleich und grosse PDFs brauchen Luft.
+        fastcgi_read_timeout 60s;
+        fastcgi_buffering    off;
+
+        # Damit die Anmeldebremse die echte Adresse sieht.
+        fastcgi_param HTTP_X_FORWARDED_FOR $proxy_add_x_forwarded_for;
+        fastcgi_param HTTPS on;
+    }
+
+    # PHP wird nirgendwo sonst ausgeführt.
+    location ~ \.php$ {
+        return 404;
+    }
+
+    # Punktdateien bleiben unerreichbar (.env, .git und Ähnliches).
+    location ~ /\. {
+        deny all;
+    }
+
+    access_log /var/log/nginx/ekdos.access.log;
+    error_log  /var/log/nginx/ekdos.error.log warn;
+}

deploy/php-fpm/ekdos.pool.conf

@@ -0,0 +1,49 @@
+; EK-DOS-WEB: eigener php-fpm-Pool.
+;
+; Ablage:  /etc/php/8.5/fpm/pool.d/ekdos.conf
+; Prüfen:  php-fpm8.5 -t && systemctl restart php8.5-fpm
+;
+; Ein eigener Pool statt des mitgelieferten www-Pools: eigener Socket, eigener
+; Benutzer, eigene Grenzen. Ein anderer Dienst auf demselben Server kann EK-DOS
+; damit weder aushungern noch dessen Umgebung mitlesen.
+
+[ekdos]
+
+user  = ekdos
+group = ekdos
+
+listen       = /run/php/ekdos.sock
+listen.owner = www-data
+listen.group = www-data
+listen.mode  = 0660
+
+; Zwei Personen im Büro, dazu die 20-Sekunden-Abfrage der Ticketliste.
+; ondemand hält keine ungenutzten Prozesse vor.
+pm                   = ondemand
+pm.max_children      = 12
+pm.process_idle_timeout = 30s
+pm.max_requests      = 500
+
+; Aufrufe an n8n haben ihr eigenes Zeitlimit (N8N_TIMEOUT). Dieses hier ist die
+; Notbremse darüber, damit ein hängender Aufruf keinen Prozess dauerhaft bindet.
+request_terminate_timeout = 60s
+
+; Fehler gehen in den Fehlerkanal, nicht in die Antwort.
+php_admin_value[display_errors]   = Off
+php_admin_flag[log_errors]        = On
+php_admin_value[error_log]        = /var/log/php/ekdos-error.log
+php_admin_value[memory_limit]     = 256M
+php_admin_value[upload_max_filesize] = 32M
+php_admin_value[post_max_size]    = 32M
+
+; Das Backend liest und schreibt nur in seinem eigenen Verzeichnis.
+php_admin_value[open_basedir] = /var/www/ekdos/backend:/tmp
+
+; Es werden keine PHP-Sitzungen verwendet -- die Sitzung liegt in Redis.
+php_admin_value[session.save_handler] = files
+php_admin_flag[session.auto_start]    = Off
+
+; Opcache: der Quelltext ändert sich nur beim Ausrollen.
+php_admin_flag[opcache.enable]           = On
+php_admin_value[opcache.validate_timestamps] = 0
+php_admin_value[opcache.max_accelerated_files] = 10000