Configuration avancée

Databasus fonctionne d'emblée avec des valeurs par défaut raisonnables : une installation standard en un seul conteneur ne demande aucune configuration. Chaque variable de cette page est optionnelle et inutile dans 99 % des déploiements en production.

OAuth

Par défaut, Databasus utilise la connexion par e-mail et mot de passe. Vous pouvez en plus permettre la connexion avec un compte Google ou GitHub. Le bouton d'un fournisseur apparaît dès que son client ID est défini, mais la connexion n'aboutit que lorsque les deux valeurs, client ID et client secret, sont présentes.

Quand vous enregistrez l'application OAuth, définissez son URL de redirection (callback) sur https://<your-domain>/auth/callback. À cause de cette redirection, la connexion OAuth exige que votre instance soit servie en HTTPS sur un domaine public (voir la note ci-dessous).

Google

Créez un client OAuth dans la Google Cloud Console (APIs & Services → Credentials → Create credentials → OAuth client ID, type d'application Web application) et ajoutez https://<your-domain>/auth/callback comme URI de redirection autorisée.

GitHub

Créez une application OAuth dans les paramètres développeur GitHub (Settings → Developer settings → OAuth Apps → New OAuth App) et définissez l'URL de callback d'autorisation sur https://<your-domain>/auth/callback.

E-mail (SMTP)

Connectez un serveur de messagerie pour que Databasus puisse envoyer les invitations aux espaces de travail, les codes de réinitialisation du mot de passe et les codes de connexion. Le serveur de messagerie est considéré comme configuré dès que SMTP_HOST est défini. Sans lui, l'écran des paramètres indique que le serveur de messagerie n'est pas configuré, et l'écran de connexion masque le lien de réinitialisation du mot de passe.

Il s'agit du serveur de messagerie de l'instance. Les canaux de notification par e-mail, qui signalent les sauvegardes, ont leurs propres paramètres SMTP dans le formulaire de chaque canal : un canal de notification qui délivre ses e-mails ne dit donc rien de ce serveur. Pour vérifier le serveur de messagerie de l'instance, ouvrez Databasus settings → Mail server et cliquez sur Send test email. Le message part vers votre propre adresse et, si la livraison échoue, vous voyez la réponse du serveur de messagerie.

SMTP_SECURITY choisit l'un des trois modes. Les canaux de notification par e-mail proposent le même choix dans Advanced settings.

Captcha à l'inscription (Cloudflare Turnstile)

Si votre instance est joignable depuis l'internet public, vous pouvez placer un défi Cloudflare Turnstile sur les formulaires d'inscription et de connexion pour tenir les bots à l'écart. Les deux clés viennent du tableau de bord Turnstile, et le défi ne s'active que lorsque les deux sont définies.

Permissions du stockage Docker

Databasus prend normalement les ID numériques de l'utilisateur et du groupe dans le répertoire pgdata existant, puis dans le mount des sauvegardes ou la racine des données. À défaut, il utilise 999. Définissez PUID ou PGID uniquement si ce choix automatique ne convient pas à votre bind mount, partage CIFS ou export NFS. Les valeurs doivent être des entiers décimaux de 1 à 4294967294.

Databasus et PostgreSQL utilisent le même compte du système d'exploitation sans privilèges root, nommé databasus.

L'entrypoint démarre comme root dans le conteneur pour choisir les ID et tenter chown et chmod. Il vérifie ensuite tout le cycle des fichiers sous le compte databasus. Un mount peut fonctionner même s'il refuse les changements de propriétaire ou de mode. Une valeur Docker user: arbitraire n'est pas prise en charge.

ERROR: Databasus cannot write to local storage paths /databasus-data/temp and /databasus-data/backups as UID 999 and GID 999.
Required operation: save a file through local storage.
Set PUID and PGID or fix the mounted directory permissions: https://databasus.com/advanced-config/#docker-storage-permissions
Details: permission denied

Les quatre anciennes variables propres aux différents services ont été supprimées volontairement. Retirez-les de votre configuration lors de la mise à jour. Si les ID automatiques ne peuvent pas accéder à un mount, le démarrage s'arrête et indique l'opération en échec ainsi que le lien vers cette page.

Télémétrie

Databasus envoie par défaut une télémétrie d'usage anonyme et non identifiante. Elle ne contient aucune donnée personnelle et nous aide à comprendre comment le projet est utilisé. Vous pouvez lire exactement ce qui est collecté dans la politique de confidentialité, et vous pouvez la désactiver complètement.

Journalisation

Databasus écrit ses journaux sur stdout et les duplique en JSON dans databasus.log sur le volume de données. Définissez OPEN_TELEMETRY_URL et il les exporte aussi via Open Telemetry vers un backend comme VictoriaLogs, Graylog, SigNoz, Grafana Loki, Datadog ou Honeycomb, ou vers un OpenTelemetry Collector, qui est lui-même un récepteur OTLP.

• Le transport suit le schéma de l'URL. http:// et https:// envoient en OTLP/HTTP et utilisent l'URL telle quelle, chemin compris ; grpc:// et grpcs:// envoient en OTLP/gRPC et n'utilisent que l'hôte et le port.
• L'authentification se met dans OPEN_TELEMETRY_HEADERS ou dans l'URL sous la forme user:password@host.
• Les secrets (mots de passe, jetons, identifiants) dans les URL sont caviardés avant qu'un enregistrement ne quitte le processus.
• Les entrées d'audit partent avec les journaux applicatifs, marquées log_type=audit, et ignorent LOG_LEVEL : élever le niveau ne fait donc jamais disparaître la piste d'audit.

Valeurs pour les backends courants, chacune avec l'en-tête qui l'authentifie. Remplacez les hôtes, régions et clés par les vôtres :

Les valeurs d'en-tête sont décodées en pourcent, donc l'espace après Basic ou Bearer s'écrit %20 et une virgule dans une valeur %2C. L'authentification Basic peut aussi aller directement dans l'URL sous la forme https://user:password@host/path : Databasus la transforme en le même en-tête et la garde hors des journaux. Sur http:// et grpc://, les clés et mots de passe circulent en clair, utilisez donc https:// ou grpcs:// en dehors d'un réseau de confiance.

Script d'analytique

Databasus peut injecter votre propre extrait d'analytique ou de suivi (Google Analytics, Plausible, Umami et similaires) dans l'application. Quand ANALYTICS_SCRIPT est défini, sa valeur est insérée dans le <head> de la page au démarrage.

Avertissement de sécurité : la valeur est injectée telle quelle, comme HTML et JavaScript bruts, et s'exécute avec un accès complet à l'interface Databasus dans le navigateur de chaque visiteur. Ne la définissez que sur un extrait que vous contrôlez et auquel vous faites entièrement confiance.