Secrets and Network

Secrets

.env alleen lokaal en nooit committen.
Productie gebruikt Unraid secrets/files of een passende secret store.
Service tokens: random 256-bit minimum, prefix voor identificatie, Argon2id/HMAC-hash met pepper, one-time display.
Provider/API keys worden geredact uit logs, traces en errors.
Rotatie ondersteunt overlap met maximaal twee actieve credentials per service account.

From	To	Doel
reverse proxy	app:8080	UI/API
app	postgres:5432	control/authorization
app	qdrant:6333	retrieval
app	approved model endpoint	generation/embedding waar nodig
worker	postgres/qdrant/blob paths	jobs/ingestion
worker	allowlisted source endpoints	connector acquisition

Geen andere standaardflows. Productie egress wordt waar praktisch op domains/IP-ranges beperkt.