# ── Pflicht ───────────────────────────────────────────────────────────────────
# Datenbank: Postgres (docker-compose setzt sie selbst) oder SQLite für lokale Entwicklung
DATABASE_URL=sqlite:///./.data/onyscribe-admin.db
# Master-Key für Secrets in der DB UND Session-Cookies (Fernet-Key, 44 Zeichen). SICHERN – ohne ihn sind Secrets unlesbar.
#   python3 -c "import base64,os; print(base64.urlsafe_b64encode(os.urandom(32)).decode())"
#   python -c "from cryptography.fernet import Fernet; print(Fernet.generate_key().decode())"
SECRET_KEY=

# ── Login der Admin-Plattform (login.onyva.dev) ───────────────────────────────
AUTH_ENABLED=false
OIDC_ISSUER=https://login.onyva.dev
OIDC_CLIENT_ID=
OIDC_CLIENT_SECRET=
OIDC_REDIRECT_URI=https://admin.example.de/auth/callback
OIDC_LOGOUT_REDIRECT_URI=https://admin.example.de/
APP_COOKIE_SECURE=true
# Zugriffsregel (mindestens eine, sonst Default-Deny):
ADMIN_ALLOWED_EMAILS=
ADMIN_REQUIRED_ROLE=

# ── Deploys ───────────────────────────────────────────────────────────────────
DEPLOY_ALLOWED_TENANTS=    # Tenants, die LIVE angefasst werden dürfen (kommagetrennt, * = alle, leer = keiner) – zum Start nur den Test-Tenant, z. B. demo-admin
DEPLOY_LIVE=false          # true erlaubt ECHTE Schreibzugriffe auf Mittwald – bewusst aus lassen, bis der Core umgebaut ist
MITTWALD_API_TOKEN=        # optional für lesende Dry-Run-Aufrufe

# ── OIDC-Clients der Tenants automatisch verwalten (login.onyva.dev /api/v1) ──
ONYVA_LOGIN_API_KEY=       # Admin-Key aus dem Login-Dashboard (API-Keys); wie ein Passwort behandeln
OIDC_SYNC_LIVE=false       # true = darf im Login Apps anlegen/ändern; ohne: nur lesen/Plan (Dry-Run)

# ── KI ────────────────────────────────────────────────────────────────────────
CORTECS_API_KEY=           # alternativ: Einstellungen → Geteilte Secrets