# ============================================================================
# OAuth2-Proxy .env.example
# ============================================================================
# Pour chaque outil, créer un dossier ~/docker/oauth2-proxy-<outil>/
# avec son docker-compose.yml et son .env adapté.
# ============================================================================

# ===== PROVIDER OIDC ZITADEL =====
OAUTH2_PROXY_PROVIDER=oidc
OAUTH2_PROXY_CLIENT_ID=__REPLACE_WITH_ZITADEL_CLIENT_ID__
OAUTH2_PROXY_CLIENT_SECRET=__REPLACE_WITH_ZITADEL_CLIENT_SECRET__

# Générer un cookie secret 32 chars :
# python3 -c 'import secrets; print(secrets.token_urlsafe(32))'
OAUTH2_PROXY_COOKIE_SECRET=__REPLACE_WITH_32_CHARS_RANDOM__

OAUTH2_PROXY_OIDC_ISSUER_URL=https://sso.seizeconsulting.com
OAUTH2_PROXY_REDIRECT_URL=https://__TOOL__.seizeconsulting.com/oauth2/callback

# ===== UPSTREAM (l'outil derrière) =====
# Exemple pour n8n : http://n8n:5678
# Exemple pour intranet : http://intranet:80
OAUTH2_PROXY_UPSTREAMS=http://__TOOL_CONTAINER__:__TOOL_PORT__

# ===== SCOPES OIDC =====
# Le scope urn:zitadel:iam:org:project:roles est CRITIQUE pour le RBAC
OAUTH2_PROXY_SCOPE=openid email profile urn:zitadel:iam:org:project:roles

# ===== COOKIES =====
OAUTH2_PROXY_COOKIE_DOMAINS=.seizeconsulting.com
OAUTH2_PROXY_COOKIE_SECURE=true
OAUTH2_PROXY_COOKIE_HTTPONLY=true
OAUTH2_PROXY_COOKIE_SAMESITE=lax

# ===== SÉCURITÉ =====
OAUTH2_PROXY_EMAIL_DOMAINS=*
OAUTH2_PROXY_SKIP_PROVIDER_BUTTON=true
OAUTH2_PROXY_PASS_AUTHORIZATION_HEADER=true
OAUTH2_PROXY_PASS_ACCESS_TOKEN=true
OAUTH2_PROXY_SET_AUTHORIZATION_HEADER=true
OAUTH2_PROXY_SET_XAUTHREQUEST=true
OAUTH2_PROXY_INSECURE_OIDC_ALLOW_UNVERIFIED_EMAIL=true

# ===== RÉSEAU =====
OAUTH2_PROXY_HTTP_ADDRESS=0.0.0.0:4180
OAUTH2_PROXY_REVERSE_PROXY=true
OAUTH2_PROXY_WHITELIST_DOMAINS=.seizeconsulting.com

# ===== DIVERS =====
OAUTH2_PROXY_FOOTER=-
OAUTH2_PROXY_REDIRECT_URL_AUTH_DOMAIN_AS_REDIRECT_URL_SUFFIX=false