Initialize clean CSR inventory repository

docs/traefik.md

@@ -0,0 +1,58 @@
+# Traefik-Betrieb
+
+Traefik v3.7.13 ersetzt Caddy. Die Routerdefinition liegt unter
+`traefik/dynamic/routes.yml`; ein Docker-Socket ist nicht erforderlich.
+Nur HTTP/HTTPS werden veröffentlicht, das Dashboard ist deaktiviert.
+WhiteNoise liefert statische Dateien aus, Uploads bleiben geschützt.
+
+## Öffentliche Domain
+
+In `.env` `APP_HOST` ohne Protokoll oder Port und `ACME_EMAIL` setzen.
+DNS muss auf den Server zeigen; TCP 80 und 443 müssen erreichbar sein.
+`docker compose up -d --build --wait` aktiviert HTTPS über Let's Encrypt.
+ACME-Zustand liegt im Volume `traefik_acme` und muss gesichert werden.
+
+## Privates LAN
+
+Auf Linux mit Python 3 und OpenSSL, im Projektverzeichnis als Administrator:
+
+```sh
+# APP_HOST in .env auf die LAN-IP setzen.
+cp docker-compose.lan.yml docker-compose.override.yml
+python3 scripts/renew_local_tls.py --hostname 192.168.188.45
+docker compose up -d --build --wait
+install -m 644 deploy/csr-inventory-tls.service deploy/csr-inventory-tls.timer /etc/systemd/system/
+systemctl daemon-reload
+systemctl enable --now csr-inventory-tls.timer
+systemctl start csr-inventory-tls.service
+```
+
+Die mitgelieferten Units setzen `/home/denis/csr-inventory` voraus; bei anderen
+Installationspfaden beide Pfade im Dienst anpassen. Der LAN-Override deaktiviert
+ACME und ergänzt Port 8001 als HTTPS-Weiterleitung.
+
+Ohne vorhandene CA erzeugt das Skript eine neue. Zur Übernahme einer bestehenden
+CA vor dem ersten Lauf deren `root.crt` und `root.key` nach `tls/ca/` kopieren.
+Der CA-Schlüssel bleibt auf dem Host und darf nicht verteilt werden. Nur das
+öffentliche Stammzertifikat wird in den Vertrauensspeicher der Clients importiert.
+Auf dem Server 192.168.188.45 wird die bisherige Stamm-CA weiterverwendet.
+
+Der Timer prüft täglich um 01:30 Europe/Berlin. Zertifikate gelten 90 Tage und
+werden bei höchstens 30 Tagen Restlaufzeit erneuert. Ein Standardzertifikat
+ermöglicht auch den IP-Zugriff ohne SNI. Die Dateikonfiguration wird atomar
+ersetzt; Traefik lädt sie ohne Neustart. Frühere Zertifikate bleiben erhalten.
+
+```sh
+systemctl list-timers csr-inventory-tls.timer
+journalctl -u csr-inventory-tls.service --no-pager
+docker compose logs --tail 100 traefik
+# Erneuerung bei Bedarf erzwingen:
+python3 scripts/renew_local_tls.py --hostname 192.168.188.45 --force
+```
+
+`tls/`, `.env`, Uploads und Datenbank separat geschützt sichern. Der tägliche
+Datenbankjob umfasst keine TLS-Schlüssel. `tls/` und die erzeugte `tls.yml`
+sind vom Git-Repository und Docker-Build ausgeschlossen.
+
+Referenzen: [File-Provider](https://doc.traefik.io/traefik/providers/file/),
+[TLS-Dateikonfiguration](https://doc.traefik.io/traefik/reference/routing-configuration/other-providers/file/).