feat: add app download

docker/docker-compose.yml

@@ -13,7 +13,6 @@ services:
       interval: 5s
       timeout: 3s
       retries: 10
-    # Pas de port exposé : accès interne uniquement (défense en profondeur).
 
   redis:
     image: redis:7-alpine
@@ -33,8 +32,26 @@ services:
     depends_on:
       api:
         condition: service_healthy
+
+  waf:
+    image: xor1234/omnex-waf:latest
+    restart: unless-stopped
+    environment:
+      - DISABLE_MODSEC_ENV_SUBST=true
+      - PARANOIA=2
+      - ANOMALY_INBOUND=5
+      - ANOMALY_OUTBOUND=4
+      - MODSEC_AUDIT_LOG=/var/log/modsec/modsec_audit.log
+    volumes:
+      - ./nginx/certs:/etc/nginx/certs:ro
+      - /var/log/waf/nginx:/var/log/nginx
+      - /var/log/waf/modsec:/var/log/modsec
     ports:
-      - "3000:80"
+      - "80:80"
+      - "443:443"
+    depends_on:
+      - web
+      - api
 
   api:
     image: xor1234/omnex-api:latest
@@ -59,22 +76,20 @@ services:
       BACKEND_IMAGE_APP: ${BACKEND_IMAGE_APP:-xor1234/backend-mln:helm}
       LBTELEGRAM_IMAGE_APP: ${LBTELEGRAM_IMAGE_APP:-xor1234/lbtelegram:helm}
       KUBECONFIG: /kubeconfig/config
+      OMNEX_APP_DOWNLOADS_DIR: /app-downloads
     volumes:
       - ../deploy/chart-gestion:/charts:ro
-      - /home/xor_fakers/.kube/config:/kubeconfig/config:ro
+      - ${KUBECONFIG_HOST_PATH:-/home/xor_fakers/.kube/config}:/kubeconfig/config:ro
+      # Dossier où déposer manuellement les .apk (Admin Panel / Client) à
+      # rendre téléchargeables aux clients ayant une démo ou un abonnement
+      # actif — voir control-plane/api/internal/downloads.
+      - ../app:/app-downloads:ro
     healthcheck:
       test: ["CMD", "curl", "-f", "http://localhost:8080/healthz"]
       interval: 5s
       timeout: 3s
       retries: 10
-      # Le temps que le fix "EnsureSharedInfra en arrière-plan" soit déployé
-      # (voir control-plane/api/cmd/api/main.go) : laisse la marge pour que
-      # le "helm upgrade --install --wait --timeout 5m" bloquant échoue tout
-      # seul si le cluster est injoignable, plutôt que de faire échouer
-      # `docker compose up` avant même que le serveur HTTP démarre.
       start_period: 330s
-    ports:
-      - "8080:8080"
 
 volumes:
   pgdata: