Relay 0.6.0: alles in een image, de app-map is leeg

Plan Eigenimage, fase 5, op keuze van de gebruiker: een image met de relay
erbij en geen tweede recept. agent.py, nginx.conf en index.html verhuizen
naar tools/evolu-relay/ naast src/; de Dockerfile blijft op node:24-slim en
haalt nginx en python3 uit apt. Drie containers uit een image: de relay als
node via de compose, de agent en nginx als root.

Anders dan alleen verplaatst: user www-data in nginx.conf (Debian heeft geen
gebruiker nginx), geen USER meer in de image, de versie in de kop via
api/status met RELAY_APP_VERSION. VERSION 0.6.0, manifest 0.6.0, drie keer
dezelfde tag in de compose, ongepind tot de eerste push.

Tests mee verhuisd; de vormtest toetst de drie tags tegen VERSION. Niet
gebouwd: er is hier geen Docker.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

whatsnext-evolu-relay/docker-compose.yml

@@ -33,39 +33,39 @@ services:
       APP_HOST: whatsnext-evolu-relay_server_1
       APP_PORT: 80
 
+  # Alle drie de containers draaien dezelfde image, gebouwd uit tools/evolu-relay/
+  # door build.sh en geduwd naar het Gitea-register op dezelfde server als deze
+  # store. Dat moet: umbreld haalt élke image op via de Docker Engine API en niet
+  # via compose, dus een lokaal gebouwde tag is voor hem onbereikbaar en de
+  # installatie faalt met "pull access denied". Op 25-08-2026 op het apparaat
+  # vastgesteld.
+  #
+  # Tot 0.5.6 zat alleen de relay in die image en draaiden de agent en de pagina
+  # als *.template op python:3-alpine en nginx:alpine. Sinds 0.6.0 zit alles erin;
+  # zie het plan Eigenimage, PLAN.md §8.
+  #
+  # De digest hoort erbij en niet alleen de tag: een tag kan opnieuw geduwd worden
+  # en dan draait er iets anders dan hier staat. Staan ze allebei, dan bepaalt de
+  # digest wat er gehaald wordt en is de tag alleen leesbaarheid. Houd de tag
+  # gelijk aan VERSION in build.sh (drie keer hier) en `version` in het manifest.
+  #
+  # De keerzijde bij een verhoging: een OUDE digest onder een NIEUWE tag levert
+  # stilzwijgend de oude image. Bij 0.5.0 stond hier daarom even een tag zonder
+  # digest, zodat het hard faalde tot de image bestond, in plaats van stil de
+  # relay zonder tijdvenster te draaien. Doe dat weer zo bij elke verhoging: eerst
+  # de digest weg, dan bouwen en duwen, dan de nieuwe erin.
+  #
+  # Gebouwd op de Umbrel zelf, dus één architectuur (amd64). Voor de officiele
+  # store hoort er een multi-arch index-digest met arm64 in; zie het masterplan
+  # Publicatie-Relay.
   relay:
-    # Gebouwd uit tools/evolu-relay/ door build.sh en geduwd naar het
-    # Gitea-register op dezelfde server als deze store. Dat moet: umbreld haalt
-    # élke image op via de Docker Engine API en niet via compose, dus een lokaal
-    # gebouwde tag is voor hem onbereikbaar en de installatie faalt met
-    # "pull access denied". Op 25-08-2026 op het apparaat vastgesteld.
-    #
-    # De digest hoort erbij en niet alleen de tag: een tag kan opnieuw geduwd
-    # worden en dan draait er iets anders dan hier staat. Staan ze allebei, dan
-    # bepaalt de digest wat er gehaald wordt en is de tag alleen leesbaarheid.
-    # Houd de tag gelijk aan `version` in het manifest en aan VERSION in build.sh.
-    #
-    # Let op: dit is één architectuur (amd64), want er is alleen amd64 gebouwd.
-    # Voor de officiele store hoort er een multi-arch index-digest met arm64 in;
-    # zie het masterplan Publicatie-Relay.
-    #
-    # De digest hoort erbij en niet alleen de tag: een tag kan opnieuw geduwd
-    # worden en dan draait er iets anders dan hier staat. Staan ze allebei, dan
-    # bepaalt de digest wat er gehaald wordt en is de tag alleen leesbaarheid.
-    #
-    # Dat laatste heeft een keerzijde die je moet kennen bij een verhoging: een
-    # OUDE digest onder een NIEUWE tag levert stilzwijgend de oude image. Bij
-    # 0.5.0 stond hier daarom even een tag zonder digest, zodat het hard faalde
-    # tot de image bestond, in plaats van stil de relay zonder tijdvenster te
-    # draaien. Doe dat weer zo bij de volgende verhoging: eerst de digest weg,
-    # dan bouwen en duwen, dan de nieuwe erin.
-    #
-    # Gebouwd en geduwd op de Umbrel zelf op 30-08-2026, dus de architectuur
-    # klopt per constructie. Let op: dit is één architectuur (amd64). Voor de
-    # officiele store hoort er een multi-arch index-digest met arm64 in; zie het
-    # masterplan Publicatie-Relay.
-    image: sc.kamenier-hamer.nl/sysop/evolu-relay:0.5.0@sha256:1e4dafdcdf0c424f96100d49a53924fbd61c931517da7bd1e26ddc027acea49a
+    image: sc.kamenier-hamer.nl/sysop/evolu-relay:0.6.0
     restart: on-failure
+    # Als node en niet als root, zoals de image tot 0.5.6 zelf al deed met USER.
+    # Nu de image ook nginx en de agent draagt, staat er geen USER meer in en
+    # regelt de compose het per container; de relay is de enige die het niet
+    # nodig heeft. De map data/relay is van deze gebruiker.
+    user: node
     ports:
       # De relay zelf. Dit is de poort waar Zoraxy met TLS naartoe wijst, en de
       # enige die deze app publiceert; de pagina loopt via app_proxy.
@@ -96,13 +96,17 @@ services:
   # zelf leegmaakt. Twee processen die in dezelfde allowlist schrijven is een
   # wedloop die je een keer per jaar treft en dan niet kunt reproduceren.
   agent:
-    # TODO pinnen op de multi-arch index-digest, met
-    # `docker buildx imagetools inspect python:3-alpine`. Geldt ook voor nginx
-    # hieronder; staat als taak in het plan Umbrelapp.
-    image: python:3-alpine
+    image: sc.kamenier-hamer.nl/sysop/evolu-relay:0.6.0
     restart: on-failure
+    command:
+      - python3
+      - /app/agent.py
     environment:
       RELAY_STATE_DIR: /var/lib/relay
+      # De versie uit het manifest, voor de kop van de pagina. Die stond tot 0.5.6
+      # rechtstreeks in de pagina, ingevuld door umbreld; nu de pagina in de image
+      # zit, geeft de agent hem door via api/status.
+      RELAY_APP_VERSION: ${APP_VERSION}
       # De volledige containernaam en niet de servicenaam 'relay'. Bij Electrum
       # Gate gaf de korte naam op het apparaat een geweigerde verbinding: de naam
       # loste wél op, maar naar een container van een andere app op hetzelfde
@@ -113,33 +117,21 @@ services:
       # Moet gelijk zijn aan de hostpoort hierboven.
       RELAY_PUBLIC_PORT: "3852"
       RELAY_API_PORT: "8000"
-      PYTHONUNBUFFERED: "1"
     volumes:
-      # Door umbrelOS ingevuld uit agent.py.template bij het starten. Er staat
-      # geen accolade-variabele in dat bestand, dus de invulling laat de
-      # Python-code ongemoeid; de agent leest zijn instellingen uit de omgeving
-      # hierboven. De test in tests/ controleert die aanname.
-      - ${APP_DATA_DIR}/agent.py:/app/agent.py:ro
       # Dezelfde map als de relay. De agent moet hier kunnen schrijven, want de
       # opdrachten van de pagina landen hier.
       - ${APP_DATA_DIR}/data/relay:/var/lib/relay
-    command:
-      - python
-      - /app/agent.py
 
+  # nginx met de pagina, uit dezelfde image. Geen mounts: pagina, configuratie en
+  # icoon zitten in de image, en de pagina heeft geen eigen staat.
   server:
-    image: nginx:alpine
+    image: sc.kamenier-hamer.nl/sysop/evolu-relay:0.6.0
     restart: on-failure
-    # De agent moet er zijn voordat nginx start: de proxy_pass naar
-    # http://agent:8000 wordt bij het starten opgelost en een onbekende naam laat
-    # nginx afbreken.
+    command:
+      - nginx
+      - -g
+      - daemon off;
+    # De agent moet er zijn voordat nginx start: de proxy_pass naar de agent wordt
+    # bij het starten opgelost en een onbekende naam laat nginx afbreken.
     depends_on:
       - agent
-    volumes:
-      # Beide door umbrelOS ingevuld uit een .template bij het starten.
-      - ${APP_DATA_DIR}/nginx.conf:/etc/nginx/nginx.conf:ro
-      - ${APP_DATA_DIR}/index.html:/usr/share/nginx/html/index.html:ro
-      # Het app-icoon, voor de kop van de pagina en het tabblad. Geen template,
-      # dus dit bestand komt alleen bij een installatie mee en niet bij een
-      # update; voor een plaatje dat vrijwel nooit wijzigt is dat goed genoeg.
-      - ${APP_DATA_DIR}/icon.png:/usr/share/nginx/html/icon.png:ro