# traefik — reverse proxy de VPS2 (adopción standalone)

Traefik v3.6.25 que hoy corre como `dokploy-traefik` (instalado por
Dokploy pero es infra compartida). Este repo versiona la config para
que el container pase a ser standalone/Komodo-managed.

## Layout en el VPS (fuente de verdad hoy)

```
/etc/dokploy/traefik/traefik.yml      → /etc/traefik/traefik.yml (bind ro)
/etc/dokploy/traefik/dynamic/         → file provider (watch: true)
/etc/dokploy/traefik/dynamic/acme.json  ← NUNCA en git (LE keys)
/etc/dokploy/traefik/dynamic-backups/ ← backups del panel-gate
```

## Config versionada aquí

- `traefik.yml` — providers swarm+docker (`exposedByDefault:false`,
  network `dokploy-network`), file provider `dynamic/`, web :80,
  websecure :443 + HTTP/3, `api.insecure` (dashboard solo interno),
  ACME `letsencrypt` httpChallenge@web, storage `dynamic/acme.json`.
- `dynamic/middlewares.yml` — `redirect-to-https`.
- `dynamic/authentik-forwardauth.yml` — `ak-fw`/`ak-fw-errors` (ForwardAuth
  contra el outpost embebido `authentik-server:9000`), bypass `/api` +
  `/outpost.goauthentik.io` por host, services `ak-*`.
- `dynamic/dokploy.yml` — routers del panel Dokploy
  (**reemplazar por `komodo.yml` al cutover del panel**).

## Procedimiento de adopción (gate humano — toca puertos públicos)

1. Este repo ya refleja la config viva (copiada del VPS).
2. `docker stop dokploy-traefik` → `docker compose up -d` con
   `compose.yaml` (o stack Komodo git-sourced contra este repo).
3. Verificar: `curl` a cada dominio público + cert LE válido + TCP
   passthrough de mail + ak-fw redirige a authentik.
4. Rollback: `docker stop` el standalone → `docker start dokploy-traefik`.

Tras la adopción, Dokploy sigue gestionando compose/apps pero ya NO el
proxy — la propiedad del routing pasa a este repo antes del desmontaje.

## Pendiente conocido

- `dokploy-network` es una red creada por Dokploy — si el desmontaje la
  borra, recrearla como `external`/`docker network create` antes (los
  composes ya la referencian). Alternativa: renombrar a `proxy` en una
  fase posterior (toca los 6 stacks — diferir).
- `api.insecure` expone el dashboard solo dentro del docker socket/net;
  considerar `api.dashboard` detrás de ak-fw o desactivarlo post-migración.
- `panel.paginica.com` → Komodo: ver `backlog/01_komodo.md` Fase C.