services:
  stream-recorder:
    image: git.techniverse.net/scriptos/stream-recorder:latest
    container_name: stream-recorder
    restart: unless-stopped
    ports:
      # Standardmäßig nur lokal erreichbar. Für Zugriff von außen einen
      # Reverse-Proxy (TLS) davorschalten oder gezielt an eine IP binden,
      # z.B. eine Tailscale-/VPN-IP: "100.64.0.10:8484:8484"
      - "127.0.0.1:8484:8484"
    volumes:
      - ./data:/app/data
      # Optional: Recordings auf separatem Pfad (dann download_path in Einstellungen anpassen).
      # Der Pfad muss in RECORDING_ROOTS enthalten sein (Standard: /app/data/recordings:/recordings).
      # - /mnt/storage/recordings:/recordings
    networks:
      stream-recorder_net:
        ipv4_address: 172.16.84.10
    environment:
      TZ: Europe/Berlin
      # UID/GID, unter der die Anwendung läuft (Besitzer von ./data)
      # PUID: 1000
      # PGID: 1000
      # Erlaubte Basisverzeichnisse für download_path (durch ":" getrennt)
      # RECORDING_ROOTS: /app/data/recordings:/recordings
      # Logs älter als X Tage werden gelöscht
      # LOG_RETENTION_DAYS: 90
      # Swagger-UI unter /docs aktivieren
      # ENABLE_API_DOCS: 1
    security_opt:
      - no-new-privileges:true
    cap_drop:
      - ALL
    cap_add:
      # Benötigt vom Entrypoint (chown der Daten, Wechsel auf PUID/PGID)
      - CHOWN
      - DAC_OVERRIDE
      - FOWNER
      - SETUID
      - SETGID
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:8484/api/health"]
      interval: 30s
      timeout: 5s
      retries: 3
      start_period: 10s

networks:
  stream-recorder_net:
    name: stream-recorder.dockernetwork.local
    driver: bridge
    ipam:
      config:
        - subnet: 172.16.84.0/24
          gateway: 172.16.84.1
          ip_range: 172.16.84.128/25