# Vectoris Gateway (G6): HTTPS para la API de agentes y servidores. Certificado de Let's Encrypt para
# GATEWAY_DOMAIN, obtenido y renovado automáticamente por Caddy (necesita el 80 y el 443 abiertos y el DNS apuntando
# al servidor). Sólo /api/v1/*; la consola (3251) NO se publica por aquí.
# G6.1: GATEWAY_DOMAIN_ALIASES (opcional, separados por espacios): otros nombres del MISMO Gateway con su propio
# certificado, p. ej. el dominio anterior durante un cambio de dominio (vectoris-gw set-domain NUEVO --keep-old).
# El Gateway firma cada respuesta y verifica la firma de cada pedido (ruta incluida): el proxy no los modifica.
# Caddy reemplaza X-Forwarded-For con la IP real del cliente; el Gateway sólo la cree si viene de este proxy
# (TRUSTED_PROXIES en gateway.conf).
{
	email {$ACME_EMAIL}
	admin off
	servers {
		protocols h1 h2
	}
	{$CADDY_TLS_GLOBAL}
}

{$GATEWAY_DOMAIN} {$GATEWAY_DOMAIN_ALIASES} {
	request_body {
		max_size 1MB
	}
	header -Server
	@api path /api/v1/*
	handle @api {
		reverse_proxy gateway:3250 {
			transport http {
				dial_timeout 5s
				response_header_timeout 60s
			}
		}
	}
	handle {
		respond 404
	}
	log {
		output stdout
		format console
	}
}
