spusteni jen pres WG

deploy/docker-compose.yml

@@ -1,6 +1,9 @@
 # Produkční stack pro single-server deploy.
 # Na serveru: kopíruje se do /opt/ems-deploy/docker-compose.yml (viz deploy/deploy.sh).
 # Cesty ./app/* jsou relativní k adresáři, kde leží tento soubor po zkopírování (/opt/ems-deploy).
+#
+# Jen přes WireGuard: v .env nastav EMS_FRONTEND_BIND na IP wg0 serveru (viz .env.example) a EMS_PUBLIC_BASE
+# na stejnou bázi URL, kterou otevřeš v prohlížeči (např. http://10.0.0.1:8080).
 
 services:
 
@@ -54,10 +57,10 @@ services:
       PGRST_DB_ANON_ROLE: ${POSTGREST_ANON_ROLE:-ems_anon}
       PGRST_JWT_SECRET: ${POSTGREST_JWT_SECRET}
       PGRST_SERVER_PORT: 3000
-      # Za Caddy změň na veřejnou bázi URL API (např. https://ems.example.com/rest).
-      PGRST_OPENAPI_SERVER_PROXY_URI: http://localhost/rest
-    ports:
-      - "127.0.0.1:3000:3000"
+      # Musí odpovídat URL, ze které klient volá /rest/ (typicky EMS_PUBLIC_BASE + /rest).
+      PGRST_OPENAPI_SERVER_PROXY_URI: ${EMS_PUBLIC_BASE:-http://127.0.0.1:8080}/rest
+    # Bez ports: PostgREST jen uvnitř sítě (frontend nginx → postgrest:3000). Host :3000 často koliduje.
+    # Přímý přístup z hostu: odkomentuj např. "127.0.0.1:3001:3000"
 
   backend:
     build:
@@ -98,7 +101,7 @@ services:
       context: ./app/frontend
     restart: unless-stopped
     ports:
-      - "127.0.0.1:8080:80"
+      - "${EMS_FRONTEND_BIND:-127.0.0.1}:8080:80"
     depends_on:
       - backend
       - postgrest