Harden code-server and move Redis password to secret file

Harden code-server and move Redis password to secret file

docs/SECRETS_MAP.md

@@ -17,6 +17,7 @@ Dieses Dokument listet sensible Daten, deren Ablageorte und die vorgesehene Einb
 |---|---|---|---|
 | Vaultwarden | ADMIN_TOKEN | `vaultwarden_admin_token.txt` -> `ADMIN_TOKEN_FILE` | aktiv |
 | PostgreSQL 17 | DB Password | `postgres_password.txt` -> `POSTGRES_PASSWORD_FILE` | aktiv |
+| Redis | Passwort | `redis_password.txt` -> Datei-Mount in `infra/redis/docker-compose.yml` | aktiv |
 | Mealie | DB Password | Stack ENV `${MEALIE_DB_PASSWORD}` | aktiv |
 | mealie-postgres | DB Password | Stack ENV `${POSTGRES_PASSWORD}` | aktiv |
 | Paperless-ngx | DB Password | Stack ENV `${PAPERLESS_DBPASS}` | aktiv |
@@ -43,6 +44,7 @@ Dieses Dokument listet sensible Daten, deren Ablageorte und die vorgesehene Einb
 /mnt/user/appdata/secrets/
 |-- vaultwarden_admin_token.txt
 |-- postgres_password.txt
+|-- redis_password.txt
 |-- code_server_password.txt
 `-- immich_db.txt
 ```

docs/WORKFLOW.md

@@ -112,6 +112,26 @@ Komodo ist in diesem Setup:
 - Pushes koennen automatisch einen Komodo-Deploy ausloesen
 - wenn Komodo und Git voneinander abweichen, gewinnt Git
 
+### Ausnahme: Komodo-Zugangsmodell
+
+Komodo bleibt **bewusst** ohne zentrale Traefik-ForwardAuth-Middleware.
+
+Grund:
+
+- Komodo hat eigene Authentifizierung
+- Komodo nutzt REST- und WebSocket-Endpunkte
+- Webhooks laufen ueber `/listener/...`
+- Periphery nutzt den speziellen WebSocket-Pfad `/ws/periphery`
+
+Deshalb wird Komodo aktuell nur ueber Traefik veroeffentlicht, aber **nicht** pauschal mit `authelia@file` vorgeschaltet.
+
+**Regel:** Aenderungen an Komodo-Auth, Komodo-Routing oder vorgeschalteter Middleware nur nach expliziter Wirkungspruefung auf:
+
+- UI-Login
+- Gitea-Webhooks
+- Periphery-Verbindung
+- API-/Automationszugriffe
+
 ---
 
 ## Verbotene Arbeitsweise
@@ -191,6 +211,8 @@ Manchmal ist ein Live-Hotfix noetig. Das ist erlaubt, aber nur unter diesen Bedi
 
 Komodo deployed ausschliesslich `docker-compose.yml`-Dateien. Die Traefik-Konfigurationsdateien unter `traefik/dynamic/` im Git-Repo werden **nicht** automatisch auf den Host uebertragen.
 
+Diese Ausnahme bleibt bewusst bestehen. Der File-Provider wird weiterhin nur fuer zentrale Middlewares, TLS und Dashboard-Konfiguration genutzt, waehrend Service-Routing ueber Docker-Labels laeuft.
+
 ### Betroffene Dateien
 
 | Git-Pfad | Host-Pfad (NAS) |