Vlastní hosting

Přehled

Pro většinu uživatelů je doporučenou cestou cloud BriefGate (app.briefgate.dev) — žádná infrastruktura ke správě, data zůstávají v EU a rozjedete to za 5 minut.

Vlastní hosting je tu pro případy, kdy potřebujete data na vlastní infrastruktuře, nasazení on-premises, compliance požadavky, které cloud nesplní, nebo vlastní integrace na úrovni serveru. Server BriefGate je pod licencí MIT.

Požadavky

Rychlý start přes Docker Compose

Zdrojový kód je pod licencí MIT, ale repozitář zatím není veřejný — napište podpoře a přidá vás do něj.

git clone [email protected]:sekera.radim/briefgate.git
cd briefgate
cp .env.example .env
# Upravte .env — minimální sada proměnných:
# DATABASE_URL, REDIS_URL, BASE_URL, PORTAL_URL,
# SECRETS_PUBLIC_KEY, SECRETS_PRIVATE_KEY
docker compose up -d

Compose soubor spustí Postgres, Redis a server BriefGate. V produkci provozujte Postgres a Redis jako samostatné spravované instance a nasměrujte na ně DATABASE_URL a REDIS_URL.

Vygenerování páru klíčů pro trezor

Trezor na přístupy potřebuje pár klíčů libsodium. Vygenerujte si ho před prvním spuštěním:

import libsodium from 'libsodium-wrappers';
await libsodium.ready;
const { publicKey, privateKey } = libsodium.crypto_box_keypair();
console.log('SECRETS_PUBLIC_KEY=' + Buffer.from(publicKey).toString('base64'));
console.log('SECRETS_PRIVATE_KEY=' + Buffer.from(privateKey).toString('base64'));

Privátní klíč uložte do svého správce tajemství (Vault, AWS Secrets Manager, 1Password Secrets Automation a podobně). Ani jeden z klíčů nikdy nedávejte do gitu.

Veřejný klíč šifruje hodnoty v prohlížeči klienta, privátní je dešifruje na serveru. Když pár vyměníte, stávající dosud neodhalené hodnoty už nepůjde dešifrovat — měňte ho tedy jen tehdy, když chcete začít načisto, a až poté, co jste si ověřili, že jsou všechny stávající hodnoty odhalené.

Proměnné prostředí

Varování k TRUST_PROXY

Nastavte ho na počet proxy, které před API opravdu stojí, a na veřejném listeneru nikdy na true. true znamená „věř hlavičce X-Forwarded-For od kohokoli“, což volajícímu dovolí zvolit si vlastní request.ip: střídáním hlavičky obejde limit pokusů o přihlášení na IP a do každého auditního záznamu si zapíše adresu, jakou si vymyslí.

Ponechat 0 za proxy má opačný následek: každý požadavek vypadá, že přišel od proxy, takže se limit na IP scvrkne do jednoho společného koše a jeden hlučný klient zablokuje všechny ostatní.

Health checky

Load balancer nebo orchestrátor nastavte tak, aby o směrování rozhodoval podle /readyz. /healthz použijte pro politiku restartů (zdravý proces, který se nedostane k databázi, nemá dostávat provoz, ale nemá se ani zabíjet).

První přihlášení

Po docker compose up:

1. Nastavte v .env hodnotu ALLOW_SIGNUP=true a restartujte (nebo ji nastavte ještě před prvním spuštěním)
2. Vytvořte si účet:

curl -X POST https://api.vasedomena.cz/v1/auth/signup \
  -H "Content-Type: application/json" \
  -d '{"email":"[email protected]","password":"...","name":"Vaše jméno"}'

3. Nastavte ALLOW_SIGNUP=false a restartujte, aby se už nikdo další nezaregistroval

Když potřebujete víc účtů (třeba pro tým), založte je všechny, dokud je ALLOW_SIGNUP=true, a pak to vypněte.

Napojení MCP balíčku na vaši instanci

Balíček @briefgate/mcp funguje i s vlastním hostingem. Stačí nastavit základní adresu:

# Přes proměnnou prostředí
BRIEFGATE_BASE_URL=https://api.vasedomena.cz briefgate-mcp --api-key bg_live_xxxxx

# Přes parametr CLI
briefgate-mcp --api-key bg_live_xxxxx --base-url https://api.vasedomena.cz

Nebo v konfiguraci MCP pro Claude Code:

claude mcp add briefgate -- briefgate-mcp \
  --api-key bg_live_xxxxx \
  --base-url https://api.vasedomena.cz

Adresa portálu se bere z PORTAL_URL — vaši klienti tedy dostanou odkazy směřující na vaši doménu.