De Tor hidden service is de tweede weg naar binnen, en die staat nergens

De gebruiker vroeg of Evolu Relay kwaad kan op zijn Umbrel. Het eerlijke antwoord
was nee met twee kanttekeningen, en de tweede stond in geen enkel bestand:
umbrelOS maakt per app een Tor hidden service en die stond gewoon aan. Samen met
PROXY_AUTH_ADD: "false" betekent dat de relay bereikbaar vanaf het internet,
alleen beschermd doordat het .onion-adres onraadbaar is. De gebruiker zet hem uit.

Wat dit lastig maakt om te zien: het staat niet in de compose van de app. Je kunt
dat bestand volledig lezen en concluderen dat alleen je LAN erbij kan. Vandaar dat
het nu op drie plekken staat: in de compose bij de instelling waar de afweging
gemaakt wordt, in het plan bij de statuspagina-vraag, en in de naslag.

De naslag is de belangrijkste van die drie, want het mechanisme is een eigenschap
van umbrelOS en geldt voor elke app. Het gevolg niet: bij Electrum Gate legt
dezelfde hidden service alleen de inlogpagina bloot, want daar staat de
proxy-inlog aan en loopt de TLS-poort niet via de proxy. Die vergelijking staat er
als tabel bij, want de instelling alleen zegt niets; het is de combinatie.

Opgemerkt door de gebruiker dat het ook voor Electrum Gate zou gelden. Deels
terecht, en dat is precies waarom het in de gedeelde naslag hoort en niet in het
plan van één app.

Tests: 32 goed 0 fout, 54 goed 0 fout en 39 goed 0 fout, niets overgeslagen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

whatsnext-evolu-relay/docker-compose.yml

@@ -25,6 +25,14 @@ services:
       # eigenaar weigert die geen limietenrij in de database heeft. Zet deze app
       # dus niet zonder meer open naar het internet; zie het masterplan
       # Bereikbaarheid.
+      #
+      # En let op de tweede weg naar binnen, die je niet ziet in deze compose:
+      # umbrelOS maakt per app een Tor hidden service. Zonder inlog betekent dat
+      # bereikbaar vanaf het internet, alleen beschermd doordat het .onion-adres
+      # onraadbaar is. Bij Electrum Gate is dat geen bezwaar, want daar zit de
+      # inlog van umbrelOS ervoor; hier is die er juist uit. Zet de hidden service
+      # dus uit in umbrelOS tenzij je hem bewust wilt. Op 25-08-2026 stond hij bij
+      # de eerste installatie gewoon aan.
       PROXY_AUTH_ADD: "false"
 
   relay: