3 commits

Author	SHA1	Message	Date
lekss361	b063b7a791	fix(security): caddy/** в deploy paths + username из 401 попытки ... Проблема 1: PR #433 (caddy/users.caddy.snippet) не запустил deploy — путь caddy/** не был в on.push.paths и changes.infra filter. Итог: на VPS остался старый snippet без юзера kopylov → 401. Проблема 2: GlitchTip events показывали user_id="(none)" всегда. Caddy не пишет username провалившейся basic_auth попытки в user_id. Решение: парсим Authorization: Basic header, base64-decode, берём только username (password отбрасывается, не логируется).	2026-05-23 12:18:03 +03:00
lekss361	f4d43d1cfc	fix(security): forwarder PermissionError — убрать USER nobody + deploy automation (#432) ... Hotfix для GlitchTip Issue #71 (PermissionError при чтении /var/log/caddy/gendsgn.ru.log). Changes: - ops/glitchtip-auth-forwarder/Dockerfile — убран USER nobody, форвардер под root - ops/glitchtip-auth-forwarder/forwarder.py — throttle capture_exception (300s) - .forgejo/workflows/deploy.yml — paths-filter + build + force-recreate sidecar - docs/runbooks/basic_auth_management.md — Deploy section Security: caddy_logs mount read-only, нет network listener, нет shell, auth_forwarder_state dedicated volume. Attack surface минимален. После merge deploy.yml автоматически rebuild+recreate sidecar на VPS.	2026-05-23 09:04:00 +00:00
lekss361	03dc8e6735	feat(security): GlitchTip forwarder для basic_auth 401 events (Phase 2 PR #426) (#430)	2026-05-23 08:42:36 +00:00