services:
  selfthreatmap:
    image: ghcr.io/s3lfcod3r/selfthreatmap:latest
    container_name: selfthreatmap
    restart: unless-stopped

    ports:
      - "8080:8080"   # Dashboard → http://EURE-IP:8080

    volumes:
      # ⚠️  PFLICHT für Login: persistenter Speicher für Konto + 2FA.
      # Ohne dieses Volume ist der angelegte Benutzer nach einem Update weg!
      - /EUER-PFAD/config:/config

      # ⚠️  PFLICHT: Pfad zu euren CrowdSec-Daten anpassen
      # Tipp: docker inspect crowdsec | grep -A5 "Mounts" → zeigt euren Datenpfad
      - /EUER-PFAD/data:/crowdsec/data:ro

      # Für dynamische Whitelist: Schreibzugriff auf postoverflows
      # Nur nötig wenn WHITELIST_ENABLED=true (Standard)
      - /EUER-PFAD/postoverflows:/crowdsec/postoverflows

      # Kein Docker-Socket nötig: Unban läuft über die CrowdSec Local API (unten)

    environment:
      # ──────────────────────────────────────────────
      # ⚠️  PFLICHT: Server-Koordinaten eintragen
      # Tipp: Rechtsklick auf Google Maps → "Was ist hier?"
      # ──────────────────────────────────────────────
      - SERVER_LAT=0.0
      - SERVER_LON=0.0

      # ──────────────────────────────────────────────
      # ℹ️  OPTIONAL: Weitere Einstellungen
      # ──────────────────────────────────────────────
      - SERVER_NAME=MeinServer          # Anzeigename im Dashboard
      - CACHE_TTL=60                    # Cache-Zeit in Sekunden
      - DAYS_BACK=365                   # Wie viele Tage zurück anzeigen

      # Dynamische Whitelist (verhindert Selbst-Ban bei IP-Wechsel)
      - WHITELIST_ENABLED=true
      # Standard-Pfad: /crowdsec/postoverflows/s01-whitelist/my-whitelist.yaml
      # Nur ändern wenn ihr einen anderen Pfad nutzt:
      # - WHITELIST_FILE=/crowdsec/postoverflows/s01-whitelist/my-whitelist.yaml
      - WHITELIST_INTERVAL=900          # Prüfintervall in Sekunden (Standard: 15 min)

      # ──────────────────────────────────────────────
      # 🔑 CrowdSec Local API (LAPI) — für IP-Unban + Whitelist
      # ──────────────────────────────────────────────
      # Eigene Maschine im CrowdSec-Container anlegen:
      #   docker exec crowdsec cscli machines add selfthreatmap --password 'LANGES-PASSWORT' -f /dev/null
      # Ohne diese Werte läuft die Karte, aber Unban ist deaktiviert.
      - CROWDSEC_LAPI_URL=http://crowdsec:8080   # bzw. http://IP-DES-CROWDSEC:8080
      - CROWDSEC_LAPI_MACHINE_ID=selfthreatmap
      - CROWDSEC_LAPI_PASSWORD=LANGES-PASSWORT

      # ──────────────────────────────────────────────
      # 🔐 LOGIN + 2FA (Zwei-Faktor) — schützt das ganze Dashboard
      # ──────────────────────────────────────────────
      # Standardmäßig AKTIV. Beim ERSTEN Aufruf im Browser legst du Benutzer +
      # Passwort an; 2FA aktivierst du danach in den Einstellungen (QR-Code).
      # Die Daten liegen im /config-Volume (siehe oben) — daher Updates-fest.
      - AUTH_ENABLED=true
      # Wenn die Map nur über HTTPS (Reverse-Proxy) erreichbar ist:
      # - COOKIE_SECURE=true
      # Zugang komplett ohne Login (NUR vertrauenswürdiges LAN!):
      # - AUTH_ENABLED=false