docker-compose.yml

# docker-compose.yml — Picarones
#
# Services disponibles :
#   - picarones   : interface web + benchmarks (port 7860)
#   - ollama      : LLMs locaux (port 11434, profil optionnel)
#
# Usage :
#   docker compose up -d                          # Picarones seul
#   docker compose --profile ollama up -d         # Picarones + Ollama
#   docker compose down
#
# Variables d'environnement :
#   Créer un fichier .env à la racine (voir .env.example)
#
# Defaults fail-closed (P0 durcissement) :
#   - le port n'est publié que sur 127.0.0.1 (poser PICARONES_BIND=0.0.0.0
#     pour exposer délibérément derrière un reverse-proxy/TLS) ;
#   - PICARONES_PUBLIC_MODE=1 par défaut : moteurs OCR cloud + LLM
#     mutualisés désactivés, browse roots confinés ;
#   - PICARONES_CSRF_REQUIRED=1 par défaut.
#   Un opérateur institutionnel surcharge ces valeurs en connaissance
#   de cause via .env ; l'inverse (ouvert par défaut) serait un foot-gun.

services:

  # ────────────────────────────────────────────────
  # Service principal : Picarones
  # ────────────────────────────────────────────────
  picarones:
    build:
      context: .
      dockerfile: Dockerfile
      target: runtime
    image: picarones:latest
    container_name: picarones
    restart: unless-stopped
    ports:
      # Bind localhost par défaut — exposition LAN/WAN = choix explicite.
      - "${PICARONES_BIND:-127.0.0.1}:${PICARONES_PORT:-7860}:7860"
    volumes:
      # Corpus à benchmarker (lecture seule)
      - "${CORPUS_DIR:-./corpus}:/app/corpus:ro"
      # Rapports générés (lecture/écriture)
      - "${RAPPORTS_DIR:-./rapports}:/app/rapports:rw"
      # Historique SQLite (persistant)
      - picarones_history:/home/picarones/.picarones
    environment:
      # LLM APIs
      - OPENAI_API_KEY=${OPENAI_API_KEY:-}
      - ANTHROPIC_API_KEY=${ANTHROPIC_API_KEY:-}
      - MISTRAL_API_KEY=${MISTRAL_API_KEY:-}
      # OCR cloud APIs
      - GOOGLE_APPLICATION_CREDENTIALS=${GOOGLE_APPLICATION_CREDENTIALS:-}
      - AWS_ACCESS_KEY_ID=${AWS_ACCESS_KEY_ID:-}
      - AWS_SECRET_ACCESS_KEY=${AWS_SECRET_ACCESS_KEY:-}
      - AWS_DEFAULT_REGION=${AWS_DEFAULT_REGION:-eu-west-1}
      - AZURE_DOC_INTEL_ENDPOINT=${AZURE_DOC_INTEL_ENDPOINT:-}
      - AZURE_DOC_INTEL_KEY=${AZURE_DOC_INTEL_KEY:-}
      # Ollama (si le service ollama est actif)
      - OLLAMA_BASE_URL=http://ollama:11434
      # Sécurité — fail-closed par défaut (cf. en-tête du fichier).
      # Surcharger explicitement dans .env pour un déploiement
      # institutionnel derrière SSO/reverse-proxy.
      - PICARONES_PUBLIC_MODE=${PICARONES_PUBLIC_MODE:-1}
      - PICARONES_CSRF_REQUIRED=${PICARONES_CSRF_REQUIRED:-1}
      # Python
      - PYTHONUNBUFFERED=1
      - PYTHONIOENCODING=utf-8
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:7860/health"]
      interval: 30s
      timeout: 10s
      retries: 3
      start_period: 20s
    networks:
      - picarones_net

  # ────────────────────────────────────────────────
  # Service optionnel : Ollama (LLMs locaux)
  # Activer avec : docker compose --profile ollama up
  # ────────────────────────────────────────────────
  ollama:
    # Image paramétrable pour la reproductibilité : poser
    # ``OLLAMA_IMAGE=ollama/ollama:<tag>`` dans .env pour épingler une
    # version (recommandé en institutionnel — ``latest`` peut dériver
    # entre deux pulls).  Défaut ``latest`` conservé pour ne pas casser
    # le profil optionnel avec un tag codé en dur non vérifié.
    image: ${OLLAMA_IMAGE:-ollama/ollama:latest}
    container_name: picarones_ollama
    restart: unless-stopped
    profiles:
      - ollama
    ports:
      - "${OLLAMA_PORT:-11434}:11434"
    volumes:
      - ollama_models:/root/.ollama
    environment:
      # Sprint S6.4 — restriction CORS Ollama.  Avant : ``*`` permet
      # à n'importe quel site web visité par l'utilisateur d'appeler
      # l'API Ollama interne via son navigateur (CSRF cross-origin).
      # En mode défaut, on n'autorise que le service web Picarones
      # (réseau Docker interne) ; un opérateur peut surcharger via
      # ``OLLAMA_ORIGINS`` env var pour ajouter un origin de
      # développement (ex : ``http://localhost:3000``).
      # NB : le service web s'appelle ``picarones`` (pas ``web``) —
      # l'origin réseau Docker interne doit donc être picarones:7860.
      - OLLAMA_ORIGINS=${OLLAMA_ORIGINS:-http://picarones:7860,http://localhost:7860}
    deploy:
      resources:
        reservations:
          devices:
            - driver: nvidia
              count: all
              capabilities: [gpu]
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:11434/api/tags"]
      interval: 30s
      timeout: 10s
      retries: 5
      start_period: 30s
    networks:
      - picarones_net

# ────────────────────────────────────────────────
# Volumes persistants
# ────────────────────────────────────────────────
volumes:
  picarones_history:
    driver: local
  ollama_models:
    driver: local

# ────────────────────────────────────────────────
# Réseau interne
# ────────────────────────────────────────────────
networks:
  picarones_net:
    driver: bridge