Sicherheits-Härtung und Bugfixes

docker-compose.yml

@@ -4,16 +4,40 @@ services:
     container_name: stream-recorder
     restart: unless-stopped
     ports:
-      - "8484:8484"
+      # Standardmäßig nur lokal erreichbar. Für Zugriff von außen einen
+      # Reverse-Proxy (TLS) davorschalten oder gezielt an eine IP binden,
+      # z.B. eine Tailscale-/VPN-IP: "100.64.0.10:8484:8484"
+      - "127.0.0.1:8484:8484"
     volumes:
       - ./data:/app/data
-      # Optional: Recordings auf separatem Pfad (dann download_path in Einstellungen anpassen)
+      # Optional: Recordings auf separatem Pfad (dann download_path in Einstellungen anpassen).
+      # Der Pfad muss in RECORDING_ROOTS enthalten sein (Standard: /app/data/recordings:/recordings).
       # - /mnt/storage/recordings:/recordings
     networks:
       stream-recorder_net:
         ipv4_address: 172.16.84.10
     environment:
       TZ: Europe/Berlin
+      # UID/GID, unter der die Anwendung läuft (Besitzer von ./data)
+      # PUID: 1000
+      # PGID: 1000
+      # Erlaubte Basisverzeichnisse für download_path (durch ":" getrennt)
+      # RECORDING_ROOTS: /app/data/recordings:/recordings
+      # Logs älter als X Tage werden gelöscht
+      # LOG_RETENTION_DAYS: 90
+      # Swagger-UI unter /docs aktivieren
+      # ENABLE_API_DOCS: 1
+    security_opt:
+      - no-new-privileges:true
+    cap_drop:
+      - ALL
+    cap_add:
+      # Benötigt vom Entrypoint (chown der Daten, Wechsel auf PUID/PGID)
+      - CHOWN
+      - DAC_OVERRIDE
+      - FOWNER
+      - SETUID
+      - SETGID
     healthcheck:
       test: ["CMD", "curl", "-f", "http://localhost:8484/api/health"]
       interval: 30s