# Vorlage – keine echten Werte. Kopieren, echte Werte setzen, per `kubectl apply` außerhalb
# der Versionskontrolle anwenden (oder ueber Secret-Manager/Sealed-Secrets im Cluster).
apiVersion: v1
kind: Secret
metadata:
  name: apicore-backend-secret
type: Opaque
stringData:
  # Host ist der In-Cluster-Service aus deploy/k8s/postgres/service.yaml.
  # Anderer Namespace als das Backend? Dann FQDN nutzen:
  # apicore-postgres.<namespace>.svc.cluster.local
  DATABASE_URL: "postgresql://apicore:change-me-postgres-password@apicore-postgres:5432/apicore?schema=public"
  # Mindestens 32 Zeichen (server-seitig erzwungen, Start bricht sonst ab) -
  # signiert jedes Access-/MFA-/SSO-Token UND verschluesselt gespeicherte
  # TOTP-Secrets. Erzeugen z.B. mit: openssl rand -hex 32
  JWT_ACCESS_SECRET: "change-me-to-a-random-value-at-least-32-characters-long"
  # Encrypts backup files; needed to restore them on another deployment.
  BACKUP_ENCRYPTION_KEY: "change-me-to-another-random-value-at-least-32-characters"
  JWT_REFRESH_SECRET: "change-me-refresh-secret"
  # Entra ID App-Registrierung (SSO). Siehe configmap.example.yaml
  # fuer OIDC_ISSUER_URL/OIDC_REDIRECT_URI. Wird auch fuer die
  # M365-Kalender-Synchronisation wiederverwendet - dafuer in der
  # App-Registrierung zusaetzlich die Application-Permission
  # "Calendars.ReadWrite" hinzufuegen (Admin-Consent noetig).
  OIDC_CLIENT_ID: "change-me-entra-client-id"
  OIDC_CLIENT_SECRET: "change-me-entra-client-secret"