Configuration avancée

Databasus fonctionne d'emblée avec des valeurs par défaut raisonnables : une installation standard en un seul conteneur ne demande aucune configuration. Chaque variable de cette page est optionnelle et inutile dans 99 % des déploiements en production.

OAuth

Par défaut, Databasus utilise la connexion par e-mail et mot de passe. Vous pouvez en plus permettre la connexion avec un compte Google ou GitHub. Le bouton d'un fournisseur apparaît dès que son client ID est défini, mais la connexion n'aboutit que lorsque les deux valeurs, client ID et client secret, sont présentes.

Quand vous enregistrez l'application OAuth, définissez son URL de redirection (callback) sur https://<your-domain>/auth/callback. À cause de cette redirection, la connexion OAuth exige que votre instance soit servie en HTTPS sur un domaine public (voir la note ci-dessous).

Google

Créez un client OAuth dans la Google Cloud Console (APIs & Services → Credentials → Create credentials → OAuth client ID, type d'application Web application) et ajoutez https://<your-domain>/auth/callback comme URI de redirection autorisée.

GitHub

Créez une application OAuth dans les paramètres développeur GitHub (Settings → Developer settings → OAuth Apps → New OAuth App) et définissez l'URL de callback d'autorisation sur https://<your-domain>/auth/callback.

E-mail (SMTP)

Connectez un serveur SMTP pour que Databasus puisse envoyer des e-mails transactionnels, comme les liens de réinitialisation de mot de passe et les invitations aux espaces de travail. L'e-mail est considéré comme configuré uniquement quand SMTP_HOST et DATABASUS_URL sont tous deux définis ; jusque-là, les fonctionnalités e-mail restent masquées dans l'interface.

Captcha à l'inscription (Cloudflare Turnstile)

Si votre instance est joignable depuis l'internet public, vous pouvez placer un défi Cloudflare Turnstile sur les formulaires d'inscription et de connexion pour tenir les bots à l'écart. Les deux clés viennent du tableau de bord Turnstile, et le défi ne s'active que lorsque les deux sont définies.

Télémétrie

Databasus envoie par défaut une télémétrie d'usage anonyme et non identifiante. Elle ne contient aucune donnée personnelle et nous aide à comprendre comment le projet est utilisé. Vous pouvez lire exactement ce qui est collecté dans la politique de confidentialité, et vous pouvez la désactiver complètement.

Journalisation

Databasus écrit ses journaux sur stdout et les duplique en JSON dans databasus.log sur le volume de données. Définissez OPEN_TELEMETRY_URL et il les exporte aussi via Open Telemetry vers un backend comme VictoriaLogs, Graylog, SigNoz, Grafana Loki, Datadog ou Honeycomb, ou vers un OpenTelemetry Collector, qui est lui-même un récepteur OTLP.

• Le transport suit le schéma de l'URL. http:// et https:// envoient en OTLP/HTTP et utilisent l'URL telle quelle, chemin compris ; grpc:// et grpcs:// envoient en OTLP/gRPC et n'utilisent que l'hôte et le port.
• L'authentification se met dans OPEN_TELEMETRY_HEADERS ou dans l'URL sous la forme user:password@host.
• Les secrets (mots de passe, jetons, identifiants) dans les URL sont caviardés avant qu'un enregistrement ne quitte le processus.
• Les entrées d'audit partent avec les journaux applicatifs, marquées log_type=audit, et ignorent LOG_LEVEL : élever le niveau ne fait donc jamais disparaître la piste d'audit.

Valeurs pour les backends courants, chacune avec l'en-tête qui l'authentifie. Remplacez les hôtes, régions et clés par les vôtres :

Les valeurs d'en-tête sont décodées en pourcent, donc l'espace après Basic ou Bearer s'écrit %20 et une virgule dans une valeur %2C. L'authentification Basic peut aussi aller directement dans l'URL sous la forme https://user:password@host/path : Databasus la transforme en le même en-tête et la garde hors des journaux. Sur http:// et grpc://, les clés et mots de passe circulent en clair, utilisez donc https:// ou grpcs:// en dehors d'un réseau de confiance.

Script d'analytique

Databasus peut injecter votre propre extrait d'analytique ou de suivi (Google Analytics, Plausible, Umami et similaires) dans l'application. Quand ANALYTICS_SCRIPT est défini, sa valeur est insérée dans le <head> de la page au démarrage.

Avertissement de sécurité : la valeur est injectée telle quelle, comme HTML et JavaScript bruts, et s'exécute avec un accès complet à l'interface Databasus dans le navigateur de chaque visiteur. Ne la définissez que sur un extrait que vous contrôlez et auquel vous faites entièrement confiance.