Configuração avançada

O Databasus já vem com valores padrão sensatos: uma instalação típica de container único não precisa de nenhuma configuração. Cada variável desta página é opcional e desnecessária em 99% dos ambientes de produção.

OAuth

Por padrão o Databasus usa login com email e senha. Você também pode permitir o login com conta Google ou GitHub. O botão de um provedor aparece assim que o seu client ID é definido, mas o login só se completa quando tanto o client ID quanto o client secret estão presentes.

Ao registrar a aplicação OAuth, defina a URL de redirecionamento (callback) como https://<your-domain>/auth/callback. Por causa desse redirecionamento, o login OAuth exige que a sua instância seja servida por HTTPS num domínio público — veja a nota abaixo.

Google

Crie um cliente OAuth no Google Cloud Console (APIs & Services → Credentials → Create credentials → OAuth client ID, tipo de aplicação Web application) e adicione https://<your-domain>/auth/callback como URI de redirecionamento autorizada.

GitHub

Crie uma aplicação OAuth em GitHub Developer settings (Settings → Developer settings → OAuth Apps → New OAuth App) e defina a URL de callback de autorização como https://<your-domain>/auth/callback.

Email (SMTP)

Conecte um servidor de e-mail para que o Databasus possa enviar convites para espaços de trabalho, códigos de redefinição de senha e códigos de acesso. O servidor de e-mail é considerado configurado assim que SMTP_HOST é definido. Sem ele, a tela de configurações informa que o servidor de e-mail não está configurado, e a tela de login esconde o link de redefinição de senha.

Este é o servidor de e-mail da instância. Os canais de notificação por e-mail, que avisam sobre os backups, têm configurações SMTP próprias no formulário de cada canal. Por isso, um canal de notificação que entrega e-mails não diz nada sobre este servidor. Para testar o servidor de e-mail da instância, abra Databasus settings → Mail server e clique em Send test email. A mensagem vai para o seu próprio endereço e, se a entrega falhar, você vê a resposta do servidor de e-mail.

SMTP_SECURITY escolhe um de três modos. Os canais de notificação por e-mail oferecem a mesma escolha em Advanced settings.

Captcha no registro (Cloudflare Turnstile)

Se a sua instância está acessível pela internet pública, você pode colocar um desafio do Cloudflare Turnstile nos formulários de registro e de login para barrar bots. As duas chaves vêm do painel do Turnstile, e o desafio só é ativado quando ambas estão definidas.

Permissões do armazenamento Docker

O Databasus normalmente usa os IDs numéricos do usuário e do grupo do diretório pgdata existente, depois do mount de backups ou da raiz de dados e, por fim, usa 999. Defina PUID ou PGID apenas quando essa escolha automática não servir para seu bind mount, compartilhamento CIFS ou exportação NFS. Os valores devem ser inteiros decimais de 1 a 4294967294.

Databasus e PostgreSQL usam a mesma conta do sistema operacional sem privilégios root chamada databasus.

O entrypoint começa como root dentro do contêiner para escolher os IDs e tentar executar chown e chmod. Em seguida, ele verifica todo o ciclo de arquivos como databasus. Um mount pode funcionar mesmo que recuse mudanças de proprietário ou modo. Um valor arbitrário de Docker user: não é aceito.

ERROR: Databasus cannot write to local storage paths /databasus-data/temp and /databasus-data/backups as UID 999 and GID 999.
Required operation: save a file through local storage.
Set PUID and PGID or fix the mounted directory permissions: https://databasus.com/advanced-config/#docker-storage-permissions
Details: permission denied

As quatro variáveis anteriores específicas de cada serviço foram removidas de propósito. Remova-as da configuração ao atualizar. Se os IDs automáticos não conseguirem acessar um mount, a inicialização será interrompida e mostrará a operação que falhou e o link para esta documentação.

Telemetria

O Databasus envia por padrão telemetria de uso anônima e não identificável. Ela não carrega dados pessoais e nos ajuda a entender como o projeto é usado. Você pode ler exatamente o que é coletado na política de privacidade, e pode desativá-la por completo.

Logs

O Databasus escreve os seus logs no stdout e os espelha como JSON em databasus.log no volume de dados. Defina OPEN_TELEMETRY_URL e ele também os exporta por OpenTelemetry para um backend como VictoriaLogs, Graylog, SigNoz, Grafana Loki, Datadog ou Honeycomb, ou para um OpenTelemetry Collector, que é ele próprio um receptor OTLP.

• O transporte segue o esquema da URL. http:// e https:// enviam OTLP/HTTP e usam a URL tal como está, caminho incluído; grpc:// e grpcs:// enviam OTLP/gRPC e usam apenas o host e a porta.
• A autenticação vai em OPEN_TELEMETRY_HEADERS ou na própria URL como user:password@host.
• Segredos (senhas, tokens, credenciais) dentro de URLs são censurados antes de uma entrada de log sair do processo.
• As entradas de auditoria seguem junto com os logs da aplicação marcadas com log_type=audit e ignoram LOG_LEVEL, então subir o nível nunca descarta a trilha de auditoria.

Valores para backends comuns, cada um com o cabeçalho que o autentica. Substitua hosts, regiões e chaves pelos seus:

Os valores dos cabeçalhos são decodificados de percent-encoding, então o espaço depois de Basic ou Bearer se escreve como %20 e uma vírgula dentro de um valor como %2C. A autenticação Basic também pode ir direto na URL como https://user:password@host/path — o Databasus a transforma no mesmo cabeçalho e a mantém fora dos logs. Por http:// e grpc:// as chaves e senhas viajam em claro, então use https:// ou grpcs:// fora de uma rede confiável.

Script de análise

O Databasus pode injetar na aplicação o seu próprio snippet de análise ou rastreamento: Google Analytics, Plausible, Umami e semelhantes. Quando ANALYTICS_SCRIPT está definido, o seu valor é inserido no <head> da página na inicialização.

Aviso de segurança: o valor é injetado tal como está, como HTML e JavaScript puros, e executa com acesso total à interface do Databasus no navegador de cada visitante. Só o defina com um snippet que controla e no qual confia totalmente.