Schoolbord: image 0.0.6 in app-versie 0.0.7, eigen login

PROXY_AUTH_ADD false, want de app heeft een eigen login en gaat publiek op een subdomein; SCHOOLBORD_TRUST_PROXY 2 (eigen reverse proxy plus app_proxy). Beschrijving en release note bijgewerkt.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

whatsnext-schoolbord/docker-compose.yml

@@ -5,18 +5,22 @@
 #  staat NIET in deze repo maar in `HomeGit/Schoolbord` (de Dockerfile in de root
 #  daar), net als bij Atreides Assets en Atreides Services.
 #
-#  Een web-UI zonder eigen login: hij hangt volledig achter app_proxy, zonder
-#  `ports:`. De inlog van umbrelOS is het slot.
+#  Een web-UI met een EIGEN login (sinds image 0.0.6): hij hangt achter
+#  app_proxy, zonder `ports:`, en is publiek bereikbaar via een eigen reverse
+#  proxy op een subdomein. De inlog van umbrelOS staat er daarom niet meer voor.
+#  Het beheerderswachtwoord maakt de app zelf, in /data/secrets.json.
 # ═══════════════════════════════════════════════════════════════════════════════
 
 services:
   # umbrelOS genereert deze service zelf; wij vullen alleen in waar hij heen moet
-  # wijzen. De hostnaam heeft de vorm <app-id>_<compose-service>_1. PROXY_AUTH_ADD
-  # blijft weg, dus de inlog van umbrelOS staat ervoor.
+  # wijzen. De hostnaam heeft de vorm <app-id>_<compose-service>_1.
+  # PROXY_AUTH_ADD "false": de app heeft een eigen login, en een bezoeker via het
+  # subdomein heeft geen sessie bij umbrelOS.
   app_proxy:
     environment:
       APP_HOST: whatsnext-schoolbord_server_1
       APP_PORT: 8095
+      PROXY_AUTH_ADD: "false"
 
   server:
     # De digest hoort erbij en niet alleen de tag: een tag kan opnieuw geduwd
@@ -28,7 +32,7 @@ services:
     # DE TAG IS DE VERSIE VAN DE IMAGE EN NIET DIE VAN DE APP: `version` in
     # umbrel-app.yml moet bij élke wijziging omhoog, ook als alleen dit bestand
     # verandert.
-    image: sc.kamenier-hamer.nl/sysop/schoolbord:0.0.5@sha256:7cc2025c30e2049b55131d5e2b60e69502ca0d949684393ddceb8ab3487bf10e
+    image: sc.kamenier-hamer.nl/sysop/schoolbord:0.0.6@sha256:b4a7b9ead85e70c557b77197ef4008b157ff01315d03991aa16692397c75ad29
     restart: on-failure
     # Geen `user:` nodig: de image zet zelf `USER node` (uid 1000), en umbrelOS
     # maakt de datamap aan als `umbrel`, ook uid 1000 (gemeten bij Atreides
@@ -38,6 +42,11 @@ services:
       # container is dat de loopback van de container: app_proxy komt er dan niet
       # bij. De netwerkgrens is hier de afwezigheid van `ports:` plus de proxy.
       SCHOOLBORD_HOST: "0.0.0.0"
+      # Hoeveel proxy's er voor de app staan: de eigen reverse proxy en app_proxy.
+      # Alleen dan gelooft de app X-Forwarded-For (de rem op inlogpogingen per
+      # bezoeker) en X-Forwarded-Proto (Secure op het sessiecookie). Na te gaan
+      # met een inlog van buitenaf; via het LAN staat er één proxy voor.
+      SCHOOLBORD_TRUST_PROXY: "2"
     volumes:
       # De datamap: db.sqlite, de hele administratie. Dit is de map die in de
       # back-up van umbrelOS hoort. Met `storage: dataRoot: data` in het manifest