From 0ebd54dc4125c61e14ead63b05a62714c9454ecd Mon Sep 17 00:00:00 2001
From: german <admin@servaki.online>
Date: Wed, 5 Aug 2026 11:37:36 +0000
Subject: [PATCH] =?UTF-8?q?security:=20=D1=83=D0=B1=D1=80=D0=B0=D0=BD?=
 =?UTF-8?q?=D0=B0=20=D0=BF=D1=83=D0=B1=D0=BB=D0=B8=D0=BA=D0=B0=D1=86=D0=B8?=
 =?UTF-8?q?=D1=8F=20=D0=B1=D0=B0=D0=B7=D1=8B=20=D0=B8=20API=20=D0=BD=D0=B0?=
 =?UTF-8?q?=D1=80=D1=83=D0=B6=D1=83,=20=D1=81=D0=B5=D0=BA=D1=80=D0=B5?=
 =?UTF-8?q?=D1=82=D1=8B=20=D0=B2=D1=8B=D0=BD=D0=B5=D1=81=D0=B5=D0=BD=D1=8B?=
 =?UTF-8?q?=20=D0=B2=20.env?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Прежняя версия привела к потере базы Heritage на ru2 (5432 наружу + пароль postgres).
---
 docker-compose.yml | 18 ++++++++++--------
 1 file changed, 10 insertions(+), 8 deletions(-)

diff --git a/docker-compose.yml b/docker-compose.yml
index ed17e07..c9fe957 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -1,16 +1,20 @@
+# ВНИМАНИЕ (2026-08-05). Порты базы и внутреннего API наружу НЕ публикуются,
+# секреты берутся только из .env — в этот файл их не писать.
+# Прежняя версия (5432 наружу + пароль postgres) привела к потере базы на ru2:
+# её снесли вымогатели и оставили требование выкупа.
+# И помните: пустой ports в override-файле НЕ отменяет порты отсюда —
+# списки в docker compose при слиянии складываются.
 services:
   db:
     image: postgres:16-alpine
     environment:
       POSTGRES_DB: family_tree
       POSTGRES_USER: postgres
-      POSTGRES_PASSWORD: postgres
+      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD:?задайте в .env}
     volumes:
       - db_data:/var/lib/postgresql/data
       - ./db/schema.sql:/docker-entrypoint-initdb.d/01_schema.sql:ro
       - ./db/seed.sql:/docker-entrypoint-initdb.d/02_seed.sql:ro
-    ports:
-      - "5432:5432"
     healthcheck:
       test: ["CMD-SHELL", "pg_isready -U postgres"]
       interval: 5s
@@ -21,21 +25,19 @@ services:
     build: ./backend
     environment:
       PORT: 4000
-      DATABASE_URL: postgres://postgres:postgres@db:5432/family_tree
-      JWT_SECRET: please_change_this_secret
+      DATABASE_URL: ${DATABASE_URL:?задайте в .env}
+      JWT_SECRET: ${JWT_SECRET:?задайте в .env}
       CORS_ORIGIN: http://localhost:3000
     depends_on:
       db:
         condition: service_healthy
-    ports:
-      - "4000:4000"
 
   frontend:
     build: ./frontend
     depends_on:
       - backend
     ports:
-      - "3000:80"
+      - "127.0.0.1:3000:80"
 
 volumes:
   db_data: