# glchat — пример окружения приложения.
# Реальный .env генерирует deploy/install.sh (права 600, не коммитится).
# Переменные приложения (читает internal/config), дефолты — в скобках.

# --- инстанс ---
DOMAIN=chat.example.com                 # домен инстанса (localhost)
FILES_DOMAIN=files.chat.example.com     # поддомен пользовательского контента (files.$DOMAIN)
INSTANCE_NAME=glchat                    # название инстанса в /api/v1/meta
LISTEN_ADDR=127.0.0.1:8080              # адрес прослушивания (127.0.0.1:8080)
DATA_DIR=/opt/glchat/data               # данные: db/, files/, backups/
WEB_ROOT=/app/web                       # собранный веб-клиент (SPA)
DATABASE_PATH=                          # по умолчанию $DATA_DIR/db/glchat.db

# --- логи ---
LOG_LEVEL=info                          # debug | info | warn | error
LOG_FORMAT=json                         # json | text

# --- SQLite (профиль производительности, AGENT.md 10.10) ---
SQLITE_READ_POOL=4                      # размер пула чтения (2 для lite)
SQLITE_CACHE_SIZE=-8000                 # КБ, отрицательное значение = КиБ (8 МБ)
SQLITE_MMAP_SIZE=134217728              # 128 МБ
GOMAXPROCS=2                            # ограничение CPU для Go-рантайма (1 для lite)

# --- лимиты ---
MAX_UPLOAD_SIZE=26214400                # байт, по умолчанию 25 МБ (профиль)
SHUTDOWN_TIMEOUT_SECONDS=20             # graceful shutdown
DB_MAINTENANCE_INTERVAL_SECONDS=21600   # PRAGMA optimize раз в 6 часов

# --- чистка данных (Фаза 5) ---
RETENTION_INTERVAL_SECONDS=3600         # как часто запускать чистку (час)
RETENTION_AUDIT_DAYS=180                # сколько дней хранить журнал аудита (0 — всегда)
RETENTION_ORPHAN_HOURS=24               # через сколько часов удалять файлы без ссылок (0 — никогда)

# --- секреты (генерируются установщиком, никогда не коммитить) ---
SESSION_PEPPER=                         # HMAC-pepper перед Argon2id
MASTER_KEY=                             # AES-256-GCM для PII (hex, 32 байта)
TOTP_ENCRYPTION_KEY=                    # шифрование TOTP-секретов
WEBHOOK_SECRET=                         # подпись вебхуков
LIVEKIT_API_KEY=                        # ключ LiveKit (фаза 3)
LIVEKIT_API_SECRET=                     # секрет LiveKit (фаза 3)
# --- OAuth-провайдеры (Фаза 7): вход через внешние сервисы ---
# Пусто — провайдер выключен, ручка входа отвечает oauth.provider_not_configured.
# Адрес возврата для настроек приложения у провайдера:
#   <домен>/api/v1/auth/oauth/<github|google|discord>/callback
OAUTH_GITHUB_CLIENT_ID=
OAUTH_GITHUB_CLIENT_SECRET=
OAUTH_GOOGLE_CLIENT_ID=
OAUTH_GOOGLE_CLIENT_SECRET=
OAUTH_DISCORD_CLIENT_ID=
OAUTH_DISCORD_CLIENT_SECRET=
# Необязательно: внешний адрес инстанса для redirect_uri (пусто — берётся из DOMAIN).
OAUTH_REDIRECT_BASE=

AGE_RECIPIENT=                          # публичный age-ключ для шифрования бэкапов
BACKUP_KEEP_DAYS=                       # сколько дней хранить бэкапы (профиль задаёт значение)
BACKUP_OFFSITE_TARGET=                  # необязательно: rsync-цель (user@host:/path) или rclone:remote:path
BACKUP_OFFSITE_KEEP_DAYS=               # необязательно: чистить копии на приёмнике старше N дней (rclone)