services:
  notas:
    build: .
    image: notas-online:latest
    container_name: notas
    ports:
      # Troque a porta do host com NOTAS_PORT (ex.: NOTAS_PORT=9090 docker compose up -d)
      - "${NOTAS_PORT:-8080}:8080"
    environment:
      # Obrigatório: defina em .env (veja .env.example) ou exporte no shell.
      NOTES_TOKEN: ${NOTES_TOKEN:?defina NOTES_TOKEN em .env ou no ambiente}
      NOTES_DATA_DIR: /data
      # Cookie Secure: ative no .env quando o acesso é sempre por HTTPS.
      NOTES_SECURE_COOKIE: ${NOTES_SECURE_COOKIE:-false}
    volumes:
      # Dados no diretório local ./data (backup = copiar a pasta)
      - ./data:/data
    # A imagem roda como 65534 (non-root). No Podman rootless defina
    # NOTAS_USER=0:0 no .env — vira o SEU usuário no host e pode escrever em ./data.
    # No Docker, garanta permissão: sudo chown -R 65534:65534 data
    user: "${NOTAS_USER:-65534:65534}"
    restart: unless-stopped
    security_opt:
      - no-new-privileges:true