activepieces — automatiserings-/koppellaag (derden-box)

Compose-definitie voor Activepieces (MIT, community-editie) op de derden-box, gedraaid als Coolify docker-compose (git-based) — géén route B (geen registry-image, geen CI, geen host-watcher). Coolify klont deze repo en draait docker compose up. Tracking-issue: wSFcQyxBu1/infra#77. Beheer, sleutelbos-regels, koppel- en rotatierecept: infra-runbook runbooks/activepieces-derden-box.md.

Wat er staat

• docker-compose.yml — drie services met exact gepinde tags: activepieces/activepieces:0.90.4 (app + embedded worker), pgvector/pgvector:0.8.0-pg16, redis:7.4.11-alpine. PG/Redis alleen op het privé net; alleen de app op coolify (Traefik). Geen ports:. Named volumes: postgres-data, redis-data, activepieces-cache.
• Secrets staan niet hier: AP_ENCRYPTION_KEY, AP_JWT_SECRET, AP_POSTGRES_PASSWORD, AP_SMTP_* en AP_FRONTEND_URL komen uit de Coolify-env (off-box kopie ~/.config/doc-gen-deploy/activepieces.env op de Mac Mini + wachtwoordmanager eigenaar).

Updaten

1. Nieuwe tag op Docker Hub (activepieces/activepieces) + release notes; check of de upstream docker-compose.yml/env-namen zijn gewijzigd.
2. Bump de tag(s) hier, commit + push naar main.
3. Redeploy de Coolify-app (API GET /deploy?uuid=<app> via docgen, of de UI). De app migreert zelf bij boot.
4. Verifieer: curl -s -o /dev/null -w '%{http_code}\n' https://flows.2487.eu/ → 401 (basic-auth-poort dicht), met creds → 200; /api/v1/health (met creds) → 200.

Vaste keuzes (waarom)

• AP_EXECUTION_MODE=SANDBOX_CODE_ONLY: Code-stappen in een V8-isolate, zónder privileged container.
• AP_NETWORK_MODE=STRICT: flow-code kan RFC1918/loopback/metadata niet bereiken (PG/Redis dus ook niet).
• AP_TELEMETRY_ENABLED=false, AP_ALLOW_OPEN_SIGN_UP=false, run-data-retentie 7 dagen.
• Admin-UI staat achter een Traefik-basic-auth-poort op de box (lockdown-patroon); inkomende webhooks zijn daardoor bewust (nog) niet bereikbaar — polling-/schedule-flows alleen.