# crushdb systemd unit
#
# Installieren (als root):
#   cp deploy/crushdb.service /etc/systemd/system/
#   systemctl daemon-reload
#   systemctl enable --now crushdb
#
# Die App lauscht auf http://127.0.0.1:PORT (siehe Environment unten)
# und lebt für einen vertrauenswürdigen Reverse Proxy (nginx/caddy).

[Unit]
Description=crushdb – encrypted record database (Flask)
After=network.target

[Service]
Type=simple
# Pfade anpassen, wo dieses Repo liegt:
User=jonas
Group=jonas
WorkingDirectory=/srv/crushdb
ExecStart=/srv/crushdb/venv/bin/python /srv/crushdb/run.py
Environment=HOST=127.0.0.1
Environment=PORT=5000

Restart=on-failure
RestartSec=3

# Hardening: nur das nötigste erlauben
NoNewPrivileges=yes
PrivateTmp=yes
ProtectSystem=strict
ReadWritePaths=/srv/crushdb/instance
ProtectHome=yes
ProtectKernelTunables=yes
ProtectControlGroups=yes
RestrictSUIDSGID=yes
CapabilityBoundingSet=
RestrictAddressFamilies=AF_INET AF_INET6 AF_UNIX

[Install]
WantedBy=multi-user.target