Domain untuk panel

Hasil

https://panel.example.com + https://api.panel.example.com

Cara

Dashboard/CLI (otomatis) atau override compose manual — Traefik bawaan

Butuh

2 record DNS, port 80/443, PROXY_ACME_EMAIL

Sebelum & sesudah

Dua hostname dibutuhkan karena browser memanggil API secara langsung (Socket.IO untuk terminal & log) — bukan lewat web.

Prasyarat

• aoox sudah berjalan via IP (Instalasi) dan kamu bisa login.
• Port 80 dan 443 di host kosong.
• Dua record DNS A ke IP server:

panel.example.com.       A   203.0.113.10
api.panel.example.com.   A   203.0.113.10

Tunggu sampai dig +short panel.example.com dari luar menjawab IP itu — sertifikat baru bisa terbit setelah DNS benar.

Lewat dashboard atau CLI (tanpa SSH)

Cara tercepat: isi INSTALL_DIR sekali di .env.dist (path absolut folder yang berisi docker-compose.dist.yml di server ini), lalu domain bisa diganti kapan saja tanpa SSH. Reverse proxy (Traefik) tidak perlu diaktifkan manual dulu — kalau belum jalan saat domain disimpan, panel akan menyalakannya otomatis (lihat Proxy & domain untuk detail Traefik itu sendiri).

1. Isi INSTALL_DIR lalu restart stack

   .env.dist

   INSTALL_DIR=/opt/aoox   # path absolut folder docker-compose.dist.yml di host ini

   docker compose -f docker-compose.dist.yml --env-file .env.dist up -d

2. Settings → Domain panel (owner)

   Isi domain dashboard, domain API, dan email ACME, lalu Simpan & terapkan. Panel menulis docker-compose.override.yml lewat container helper dan menjalankan ulang docker compose up -d — koneksi ke dashboard sempat terputus beberapa detik saat container web/api di-recreate, itu wajar. Kalau proxy belum pernah diaktifkan, muncul peringatan bahwa proxy baru saja dinyalakan otomatis, plus tiga hal yang tetap perlu dicek manual sebelum domain benar-benar bisa diakses — lihat Jebakan umum.

3. Atau dari CLI

   aoox domain set --web panel.example.com --api api.panel.example.com \
     --acme-email kamu@example.com

   Memanggil endpoint yang sama (termasuk peringatan proxy di atas kalau berlaku), untuk operator yang lebih suka terminal.

Hanya izinkan akses lewat domain (opsional)

Port 3000 dan 3001 secara default terbuka di semua interface, jadi dashboard juga menjawab di IP:3000. Klien bisa memanggil port web langsung dengan header X-Forwarded-For buatannya sendiri, yang melewati batas percobaan login per IP. Aktifkan Hanya izinkan akses lewat domain di Settings → Domain panel (atau jalankan aoox domain set --web … --api … --domain-only) dan kedua port hanya mendengarkan di 127.0.0.1, sehingga semua akses dari luar lewat Traefik. Default-nya mati, dan butuh domain dashboard sekaligus domain API: CLI, webhook, dan socket terminal/log memakai domain API begitu port 3001 ditutup.

Menghapus domain

Untuk kembali ke akses lewat IP biasa, pakai Hapus domain di Settings → Domain panel (owner, dengan konfirmasi) atau jalankan aoox domain clear (--yes melewati pertanyaan). Panel menghapus domain yang tersimpan, mematikan Hanya izinkan akses lewat domain, menghapus docker-compose.override.yml, mengembalikan WEB_ORIGIN dan PUBLIC_API_URL ke http://<PUBLIC_IP>:3000 / :3001 di .env.dist, lalu membuat ulang container web dan api tanpa override. Setelah restart (beberapa detik) domain lama tidak lagi berfungsi: buka dashboard lagi di http://<IP server>:3000 dan masuk ulang. Reverse proxy, domain aplikasi, dan email ACME tidak diubah. Seperti saat menyimpan domain, ini butuh INSTALL_DIR (400 bila kosong) dan Docker daemon yang berjalan (502 bila tidak).

Manual lewat SSH

Alternatif bila INSTALL_DIR belum/tidak ingin diisi, atau ingin kendali penuh atas file compose.

1. Isi variabel domain di .env.dist

   .env.dist

   WEB_DOMAIN=panel.example.com
   API_DOMAIN=api.panel.example.com
   PROXY_ACME_EMAIL=kamu@example.com
   PROXY_ACME_STAGING=false          # true saat uji coba
   
   # ganti keduanya ke https + domain di atas
   WEB_ORIGIN=https://panel.example.com
   PUBLIC_API_URL=https://api.panel.example.com

   Variabel	Kenapa
   WEB_DOMAIN / API_DOMAIN	Host untuk label Traefik di service web dan api.
   WEB_ORIGIN	Harus sama persis dengan URL di browser: cookie sesi mendapat flag Secure mengikutinya, dan gateway terminal/log menolak Origin lain.
   PUBLIC_API_URL	URL API yang dipanggil browser dan provider webhook.
   PROXY_ACME_EMAIL	Mengaktifkan resolver Let's Encrypt; tanpa ini tidak ada HTTPS dan tidak ada redirect.

2. Jalankan ulang dengan override domain

   docker compose -f docker-compose.dist.yml -f docker-compose.domain.yml --env-file .env.dist up -d

   docker-compose.domain.yml memasang label Traefik ke service web dan api (router aoox-web / aoox-api + varian -secure, bentuk yang sama dengan domain aplikasi) dan memasukkannya ke network aoox. Compose menolak start bila WEB_DOMAIN/API_DOMAIN kosong.

   Mulai sekarang selalu sertakan kedua file -f pada setiap up/pull. Menjalankan tanpa override akan mencabut label dan domain berhenti dilayani.

3. Aktifkan reverse proxy (bila belum)

   Login (masih via IP:3000 bila perlu) → Settings → Reverse proxy (Traefik) → aktifkan (owner). Proxy yang sudah ada tapi diaktifkan tanpa PROXY_ACME_EMAIL harus dihapus dan diaktifkan lagi agar resolver ACME aktif.

4. Buka https://panel.example.com

   Sertifikat diminta saat host pertama kali diakses (± beberapa detik). Login ulang — sesi lama (cookie tanpa Secure di origin IP) tidak berlaku di origin baru.

Verifikasi

curl -I https://panel.example.com          # 200, issuer Let's Encrypt
curl -I http://panel.example.com           # 301 → https
curl -s https://api.panel.example.com/auth/setup-status   # {"needsSetup":false}

• Terminal web bisa dibuka tanpa pesan origin not allowed.
• Log realtime di tab Deploy mengalir (Socket.IO ke PUBLIC_API_URL).
• Webhook URL di tab Webhook aplikasi kini berawalan https://api.panel.example.com/webhooks/….

Variasi

Uji coba dulu dengan staging

PROXY_ACME_STAGING=true memakai CA staging Let's Encrypt (tanpa rate limit; sertifikat tidak dipercaya browser). Setelah yakin DNS dan port benar, ganti ke false, hapus proxy, aktifkan lagi — volume ACME akan meminta sertifikat produksi.

Di belakang Cloudflare

• Mode SSL Full (strict); Flexible menyebabkan redirect loop.
• Saat pertama menerbitkan sertifikat, set kedua record ke DNS only.
• WebSocket (terminal, log) didukung Cloudflare; pastikan tidak diblokir oleh aturan.

Reverse proxy sendiri (nginx/Caddy di depan)

Tidak perlu docker-compose.domain.yml: arahkan proxy-mu ke :3000 dan :3001, aktifkan WebSocket upgrade, dan tetap set WEB_ORIGIN/PUBLIC_API_URL ke URL publik https. Bila TLS di-terminate di proxy-mu dan ke aoox lewat http, set COOKIE_SECURE=true agar cookie tetap Secure.

Jebakan umum

Langkah berikutnya