Skip to main content

Environment Variables

Полный справочник всех переменных окружения для каждого сервиса.

1. Backend​

Самый большой набор переменных. Задаются в Dokploy → Backend Service → Environment.

VariableRequiredDefaultОписание
NODE_ENVYes—production, staging, development
PORTYes4000Порт, на котором слушает сервер. Задавай 4000
HOSTNo0.0.0.0На каком интерфейсе слушать. 0.0.0.0 = все (нужно в Docker)
LOG_LEVELNoinfoУровень логов: error, warn, info, debug
LOG_PRETTYNofalsePretty-print логов (только для dev)
UPLOAD_DIRYes (prod)—Путь для загрузки файлов (статика). Проверяется env-validator при запуске
MAINTENANCE_BYPASS_TELEGRAM_IDSNo—Telegram ID пользователей, которые могут обходить режим maintenance (через запятую)
RATE_LIMIT_MAXNo100Максимум запросов в окне глобального rate limiting
RATE_LIMIT_TIME_WINDOWNo60000Длительность окна rate limiting (мс). 60000 = 1 минута
VariableRequiredDefaultОписание
JWT_SECRETYes—Секрет для подписи JWT (мин. 32 символа). Генерация: openssl rand -base64 48
ADMIN_USERNAMEYes (prod)—Логин админ-панели. Проверяется env-validator при запуске
ADMIN_PASSWORD_HASHNo—Bcrypt-хэш пароля админ-панели (cost 12). См. генерацию ниже
ADMIN_PASSWORDNoadminDeprecated fallback. Используется только если ADMIN_PASSWORD_HASH не задан. В production всегда используй ADMIN_PASSWORD_HASH
ENABLE_2FANofalseВключить двухфакторную аутентификацию для админ-панели
ADMIN_2FA_SECRETConditional—TOTP-секрет для 2FA. Обязателен если ENABLE_2FA=true
DOCS_OWNER_TTL_MINUTESNo240TTL сессии доступа к документации для владельца (мин.)
DOCS_ADMIN_TTL_MINUTESNo240TTL сессии доступа к документации для админа (мин.)
Генерация ADMIN_PASSWORD_HASH

Пароль хэшируется через bcrypt с cost 12. Сгенерировать хэш:

# Через Node.js (bcryptjs уже в зависимостях проекта)
node -e "const b=require('bcryptjs');b.hash('YOUR_PASSWORD',12).then(h=>console.log(h))"

Полученный хэш (начинается с $2a$12$...) — это значение ADMIN_PASSWORD_HASH.

Синхронизация 2FA

ENABLE_2FA в backend и VITE_ENABLE_2FA в Admin Panel должны совпадать. Если backend = false, а admin = true — админка покажет поле ввода 2FA-кода, но backend его проигнорирует.

Пример .env для Production​

Полный пример .env для Backend (production)
# === Core ===
NODE_ENV=production
PORT=4000
HOST=0.0.0.0
LOG_LEVEL=info
UPLOAD_DIR=/var/data/goloot/uploads
MAINTENANCE_BYPASS_TELEGRAM_IDS=123456789,987654321  # Bypass maintenance mode
# RATE_LIMIT_MAX=100                       # Глобальный rate limit (запросов в окне)
# RATE_LIMIT_TIME_WINDOW=60000             # Окно rate limit (мс)

# === Database ===
DATABASE_URL=postgresql://goloot:STRONG_PASSWORD@goloot-postgresql-XXXXX:5432/goloot?connection_limit=25

# === Redis ===
# Hostname — Container Name из Dokploy UI (НЕ просто "redis")
REDIS_URL=redis://:REDIS_PASSWORD@goloot-redis-XXXXX:6379
# REDIS_PASSWORD=                 # Отдельная опция (не нужна если пароль уже в REDIS_URL)

# === JWT & Auth ===
JWT_SECRET=СГЕНЕРИРУЙ_ЧЕРЕЗ_openssl_rand_base64_48
ADMIN_USERNAME=admin
ADMIN_PASSWORD_HASH=BCRYPT_HASH
ENABLE_2FA=true
ADMIN_2FA_SECRET=СГЕНЕРИРУЙ_ЧЕРЕЗ_openssl_rand_base64_32

# === Docs Access ===
DOCS_OWNER_TTL_MINUTES=240
DOCS_ADMIN_TTL_MINUTES=240

# === Telegram ===
TELEGRAM_BOT_TOKEN=1234567890:ABCdefGHIjklMNOpqrsTUVwxyz
TELEGRAM_BOT_USERNAME=GoLootBot
TELEGRAM_APP_NAME=goloot
TELEGRAM_MINI_APP_URL=https://t.me/GoLootBot/goloot
TELEGRAM_WEBHOOK_URL=https://api.goloot.online/api/telegram/webhook
TELEGRAM_WEBHOOK_SECRET=СГЕНЕРИРУЙ_ЧЕРЕЗ_openssl_rand_hex_32
TELEGRAM_CHANNEL_ID=-1001234567890
TELEGRAM_CHANNEL_USERNAME=goloot_channel
TELEGRAM_GROUP_ID=-1001234567890
TELEGRAM_ADMIN_IDS=123456789,987654321
TELEGRAM_LINKED_GROUP_ID=-1001234567890   # Linked supergroup канала (обсуждения + тайтлы)

# === Telegram Topics (опционально) ===
# ID топиков (тредов) в Telegram-группе. Каждый — реальное число из URL топика.
# Как узнать: группа → правый клик на топик → Copy Link → ?topic=ЧИСЛО
TELEGRAM_TOPIC_BAN_APPEAL=123    # Апелляции забаненных
TELEGRAM_TOPIC_PROBLEM=456       # Жалобы и проблемы с выводом
TELEGRAM_TOPIC_SUGGESTION=789    # Предложения пользователей
TELEGRAM_TOPIC_VERIFICATION=101  # Заявки на верификацию Steam
TELEGRAM_TOPIC_SEASONS=102       # Сезоны (старт, конец, валидация)
TELEGRAM_TOPIC_RAFFLES=103       # Розыгрыши (пул призов пуст)
TELEGRAM_TOPIC_BUDGET=104        # Экономика (Luck Pool, смена периода)
TELEGRAM_TOPIC_SECURITY=105      # Безопасность (фрод, бюджет исчерпан)
TELEGRAM_TOPIC_TRADES=107        # Трейды Steam (отправка/получение скинов)
TELEGRAM_TOPIC_REPLIES=106       # Ответы админа на тикеты
TELEGRAM_QUIZ_TTL_SECONDS=86400  # TTL публикаций квизов (24 часа)

# === Steam ===
STEAM_ENABLED=true
STEAM_API_KEY=your-steam-api-key
STEAM_USERNAME=your-steam-username
STEAM_PASSWORD=your-steam-password
STEAM_SHARED_SECRET=your-shared-secret
STEAM_IDENTITY_SECRET=your-identity-secret
STEAM_ADMIN_IDS=76561198000000001,76561198000000002  # Steam ID админов
# STEAM_REQUIRED=false                     # Обязателен ли бот (в prod обязателен по умолчанию)
# STEAM_ACCOUNT_NAME=                      # Альтернативное имя аккаунта (fallback на USERNAME)
# STEAM_DEVICE_ID=                         # Device ID для 2FA (auto-generated если не задан)
# STEAM_REVOCATION_CODE=                   # Код отзыва Steam 2FA
# STEAM_AUTO_LOGIN=true                    # Автологин бота при старте сервера

# === URLs ===
STATIC_URL=https://static.goloot.online
WEB_APP_URL=https://goloot.online
ADMIN_URL=https://admin.goloot.online
REDIRECT_START_URL=https://start.goloot.online
REDIRECT_PUSH_URL=https://r.goloot.online

# === Quiz Generation ===
QUIZ_SQLITE_PATH=/var/data/goloot/rust_data.db

# === Monitoring ===
OTEL_SERVICE_NAME=goloot-backend
OTEL_EXPORTER_OTLP_ENDPOINT=http://tempo:4318
ENABLE_SWAGGER=true
SWAGGER_API_KEY=your-swagger-api-key

# === Economy (опционально — есть дефолты в коде) ===
# REFERRAL_PASSIVE_INCOME_PERCENT=10   # Единственная env-переменная экономики
# Join-бонусы (XP, Scrap) настраиваются через сезон (Season.joinReferrerRewards)

2. Frontend​

Frontend использует build-time переменные с префиксом VITE_.

Build-time, не Runtime!

В Dokploy задавай эти переменные как Build-time Variables (Build Args), а не как Environment Variables. Vite вшивает их в статику при сборке.

VariableRequiredDefaultОписание
VITE_API_URLYes (prod)—Backend API URL
VITE_STATIC_URLYes (prod)—URL сервера статики (для картинок предметов, кейсов, аватаров)
VITE_TELEGRAM_BOT_USERNAMEYes (prod)—Username бота (без @). Используется для deep-ссылок на Telegram-бота
VITE_TELEGRAM_CHANNEL_USERNAMENo—Username канала Telegram. Используется для проверки подписки пользователя
VITE_REDIRECT_START_URLYes (prod)—URL redirect-сервиса (referral/UTM ссылки)

3. Admin Panel​

Тоже build-time переменные с VITE_:

VariableRequiredDefaultОписание
VITE_API_URLYes (prod)—Backend API URL
VITE_STATIC_URLYes (prod)—URL сервера статики (для картинок предметов, каталогов)
VITE_REDIRECT_START_URLYes (prod)—URL redirect-сервиса (referral/UTM ссылки)
VITE_REDIRECT_PUSH_URLNo—URL redirect-сервиса (push notification tracking). В production обязательно задать
VITE_ENABLE_2FANofalseВключить 2FA для админ-панели. Должен совпадать с ENABLE_2FA в backend
VITE_GRAFANA_URLNo—URL Grafana для ссылок на мониторинг из карточки пользователя
VITE_DOCS_URLYes (prod)—URL портала документации (для ссылки из админ-панели). Пример: https://docs.goloot.online

4. Redirect Service​

Все переменные обязательны — сервис упадёт при отсутствии:

VariableRequiredDefaultОписание
NODE_ENVYes—Окружение
PORTYes—Порт (3001)
HOSTYes—Хост (0.0.0.0)
LOG_LEVELYes—Уровень логов
DATABASE_URLYes—PostgreSQL URL
STATIC_URLYes—URL статики
START_URLYes—URL фронтенда (куда редиректить пользователя)
TELEGRAM_BOT_USERNAMEYes—Username бота
TELEGRAM_APP_NAMEYes—Имя приложения

5. Monitoring Stack​

Переменные задаются в Dokploy → monitoring compose → Environment:

VariableServiceDefaultОписание
GRAFANA_ADMIN_USERGrafanaadminЛогин Grafana
GRAFANA_ADMIN_PASSWORDGrafanaadminПароль Grafana
TELEGRAM_BOT_TOKENGrafana—Токен бота для Telegram alerting (контактная точка Grafana). Тот же токен, что и в Backend

Grafana Service Account Token​

Для API-доступа к Grafana (автоматизация, AI-диагностика) используется Service Account Token вместо логина/пароля:

ПараметрЗначение
СозданиеGrafana UI → Administration → Service Accounts
РольViewer (read-only)
Формат токенаglsa_xxxxxxxxxxxx
ХранениеВне git: ~/.claude/projects/.../grafana-token или локальный .env
ИспользованиеAuthorization: Bearer glsa_xxx header
Не путать с GRAFANA_ADMIN_PASSWORD

GRAFANA_ADMIN_PASSWORD — пароль для входа в UI. Service Account Token — для программного API-доступа. Это разные механизмы аутентификации.

Подробнее: Monitoring Setup → Grafana API

6. GitHub Actions Secrets​

Для CI/CD пайплайна нужны секреты в GitHub:

SecretОписание
SWAGGER_API_KEYКлюч для получения OpenAPI spec
DOKPLOY_DOCS_WEBHOOKWebhook URL для деплоя документации

Подробнее: CI/CD Setup

7. Генерация секретов​

# JWT Secret (64 символа, base64 допустим — используется только в коде)
openssl rand -base64 48

# Пароль для PostgreSQL (hex — без спецсимволов, безопасен в connection string)
openssl rand -hex 24

# Пароль для Redis (hex — без спецсимволов, безопасен в connection string)
openssl rand -hex 24

# Swagger API Key
openssl rand -hex 32

# ADMIN_2FA_SECRET (TOTP-секрет для 2FA админ-панели, base64)
openssl rand -base64 32

# TELEGRAM_WEBHOOK_SECRET (hex, мин. 32 символа)
openssl rand -hex 32

# ADMIN_PASSWORD_HASH (bcrypt, cost 12)
node -e "const b=require('bcryptjs');b.hash('YOUR_PASSWORD',12).then(h=>console.log(h))"
Почему hex для паролей БД?

openssl rand -base64 генерирует символы /, +, = — они ломают PostgreSQL connection string и могут вызвать проблемы в shell. openssl rand -hex выдаёт только 0-9, a-f — безопасно везде.