ClaudeandClaude Opus 5.5
144181f2c9
nginx: server_tokens off, HSTS, exaktes /v1 liefert 404 (Regex-Block statt ^~ /v1/). deploy.sh: AIRCARD_WEBHOOK_TOKEN nicht an npm, Sperrverzeichnis gegen parallele Läufe (verwaiste Sperren werden übernommen), timeout 900 für npm ci und Build. Neuer Test deploy/deploy.test.js gegen das echte Skript. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
72 lines
2.3 KiB
Plaintext
72 lines
2.3 KiB
Plaintext
# nginx für aircard-ios.org (Container webklar-aircard, nginx:alpine; wird nach
|
|
# /etc/nginx/conf.d/default.conf gemountet). Ausgeliefert wird die statische Seite aus
|
|
# /usr/share/nginx/html (= out/ des Build-Containers). TLS macht Traefik davor.
|
|
#
|
|
# Wichtig: In den location-Blöcken kein add_header verwenden - sonst entfallen die
|
|
# Sicherheits-Header vom server-Block. "expires" ist davon nicht betroffen.
|
|
server {
|
|
listen 80;
|
|
server_name _;
|
|
server_tokens off;
|
|
|
|
root /usr/share/nginx/html;
|
|
index index.html;
|
|
|
|
# Sicherheits-Header (alle Antworten, auch Fehler)
|
|
add_header X-Frame-Options "SAMEORIGIN" always;
|
|
add_header X-Content-Type-Options "nosniff" always;
|
|
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
|
|
# TLS endet bei Traefik; der Header läuft durch und gilt für den Browser (kein includeSubDomains).
|
|
add_header Strict-Transport-Security "max-age=31536000" always;
|
|
|
|
gzip on;
|
|
gzip_vary on;
|
|
gzip_min_length 1024;
|
|
gzip_comp_level 6;
|
|
gzip_types
|
|
text/plain
|
|
text/css
|
|
text/xml
|
|
text/javascript
|
|
application/javascript
|
|
application/json
|
|
application/manifest+json
|
|
application/xml
|
|
image/svg+xml;
|
|
|
|
# Gehashte Build-Dateien: ein Jahr, nie auf index.html zurückfallen.
|
|
location ^~ /assets/ {
|
|
try_files $uri =404;
|
|
expires 1y;
|
|
access_log off;
|
|
}
|
|
|
|
# Die Appwrite-API liegt nur über Traefik (Header X-Appwrite-Project) auf /v1.
|
|
# Ohne diesen Header darf nginx hier nie die App (index.html) ausliefern, auch nicht für genau /v1.
|
|
# Regex-Block: steht vor den anderen Regex-Blöcken (die erste passende Regel gewinnt, /v1/x.png
|
|
# soll also 404 liefern); /assets/ bleibt durch das ^~ oben unberührt.
|
|
location ~ ^/v1(/|$) {
|
|
return 404;
|
|
}
|
|
|
|
location = /index.html {
|
|
expires -1;
|
|
}
|
|
|
|
# Versteckte Dateien sperren (außer /.well-known). Steht vor den Regex-Blöcken
|
|
# darunter, damit z. B. /.git/x.png nicht als Bild durchgeht.
|
|
location ~ /\.(?!well-known) {
|
|
deny all;
|
|
}
|
|
|
|
location ~* \.(?:png|jpe?g|gif|webp|avif|svg|ico|woff2?|ttf|otf)$ {
|
|
expires 7d;
|
|
}
|
|
|
|
# Single-Page-App: alle anderen Pfade (/karten, /editor ...) liefern index.html.
|
|
location / {
|
|
try_files $uri $uri/ /index.html;
|
|
expires -1;
|
|
}
|
|
}
|