services:
  portainer:
    image: portainer/portainer-ce:latest
    container_name: portainer
    restart: unless-stopped
    volumes:
      # ⚠️ Accès au socket Docker = pouvoir total sur les conteneurs
      - /var/run/docker.sock:/var/run/docker.sock
      - ./data:/data
    networks:
      - web
    # ⚠️ Pas de labels Traefik : OAuth2-Proxy expose le host

networks:
  web:
    external: true