demo mode

docs/operations/UNRAID_DEPLOYMENT.md

@@ -7,9 +7,10 @@ Deze handleiding gebruikt `docker-compose.unraid.yml` als declaratieve bron van
 Maak deze directories:
 
 ```text
-/mnt/user/appdata/vacatureradar/config
-/mnt/user/appdata/vacatureradar/media
-/mnt/user/appdata/vacatureradar/logs
+/mnt/user/appdata/vacatureradar/source
+/mnt/user/appdata/vacatureradar/source/local
+/mnt/user/appdata/vacatureradar/source/local/media
+/mnt/user/appdata/vacatureradar/source/local/logs
 /mnt/user/appdata/vacatureradar/source/local/postgres-aio17
 /mnt/user/appdata/vacatureradar/source/local/redis-aio
 /mnt/user/appdata/vacatureradar/ollama       # alleen bij lokale AI
@@ -46,48 +47,46 @@ Gebruik in productie geen zwevende `latest` zonder gecontroleerd rollbackpad.
 
 ## Configuratiebestand
 
-Kopieer of genereer `.env` naar:
-
-De deploy-helper `scripts/deploy_docker.sh` vult ontbrekende sleutels op basis van veilige defaults.
-Zet voor publieke productie vooraf de gewenste variabelen:
+De standaardlocatie die `docker-compose.unraid.yml` leest is:
 
 ```text
-/mnt/user/appdata/vacatureradar/config/.env
-APP_HOST=jobs.example.be
-APP_SCHEME=https
-DJANGO_DEBUG=0
-SESSION_COOKIE_SECURE=1
-CSRF_COOKIE_SECURE=1
-SECURE_SSL_REDIRECT=1
+/mnt/user/appdata/vacatureradar/source/.env
 ```
 
-Gebruik daarna de helper (zie hieronder). 
+Een afwijkende locatie kan vóór Compose via `VACATURERADAR_ENV_FILE` worden ingesteld. Gebruik [`deployment/production.env.example`](../../deployment/production.env.example) alleen als checklist en kopieer nooit ongewijzigde `CHANGE_ME`-waarden.
+
+Configureer een bestaand bestand voor de publieke URL zonder secrets te overschrijven:
+
+```bash
+cd /mnt/user/appdata/vacatureradar/source
+python scripts/configure_public_url.py \
+  https://vacatureradar.example.be \
+  --env-file /mnt/user/appdata/vacatureradar/source/.env \
+  --cache-url redis://127.0.0.1:6379/1
+```
 
 Beperk de bestandsrechten van `.env` tot de beheerder. Voeg geen secrets toe aan de ZIP, Git, screenshots of supportlogs.
 
 ## Eerste uitrol
 
-1. Controleer alle `CHANGE_ME`-waarden.
-2. Gebruik de deploy-helper voor een snelle eerste start:
+1. Controleer alle `CHANGE_ME`-waarden en maak een back-up van een bestaande `.env`.
+2. Start of hermaak de Unraid-container vanuit de bronmap:
 
 ```bash
-cd /app/VacatureRadar
-APP_HOST=jobs.example.be APP_SCHEME=https DJANGO_DEBUG=0 \
-SESSION_COOKIE_SECURE=1 CSRF_COOKIE_SECURE=1 SECURE_SSL_REDIRECT=1 \
-bash scripts/deploy_docker.sh
+cd /mnt/user/appdata/vacatureradar/source
+docker compose -f docker-compose.unraid.yml up -d --build --force-recreate
 ```
 
-3. Start de ene appcontainer; de entrypoint initialiseert PostgreSQL, voert migraties uit en start daarna alle processen onder Supervisor.
-6. Controleer `GET /health/live/` en `GET /health/ready/`.
-6. Voer eenmalig in de webcontainer uit:
+3. De entrypoint valideert de productieconfiguratie, initialiseert PostgreSQL, voert migraties uit en start alle processen onder Supervisor.
+4. Controleer intern `GET /health/live/` en `GET /health/ready/`.
+5. Voer alleen wanneer bootstrap niet automatisch is ingeschakeld eenmalig uit:
 
 ```bash
-python manage.py bootstrap_instance
-python manage.py collectstatic --noinput
+docker exec -it VacatureRadar python manage.py bootstrap_instance
 ```
 
-7. Meld lokaal aan en wijzig het bootstrapwachtwoord.
-8. Activeer nog geen live bron of mailbox voordat bronbeleid, retentie en back-up zijn gecontroleerd.
+6. Meld lokaal aan en wijzig het bootstrapwachtwoord.
+7. Activeer nog geen live bron of mailbox voordat bronbeleid, retentie en back-up zijn gecontroleerd.
 
 ## Beheerverbinding en heruitrol
 
@@ -135,7 +134,7 @@ Expose de applicatie niet rechtstreeks op internet. Plaats Nginx Proxy Manager,
 - optioneel extra access control/VPN voor persoonlijke installatie;
 - geen publieke toegang tot PostgreSQL, Redis of Ollama.
 
-Wanneer een proxy op hetzelfde Docker-netwerk draait, publiceer poort 1226 alleen intern. Wanneer Unraid routing een hostpoort vereist, beperk die via firewall/VLAN tot de proxy of het beheernetwerk.
+Wanneer een proxy op hetzelfde Docker-netwerk draait, publiceer poort 1226 alleen intern. Wanneer Unraid routing een hostpoort vereist, beperk die via firewall/VLAN tot de proxy of het beheernetwerk. Volg voor host-, CSRF-, proxyheader- en TLS-instellingen de [Nginx Proxy Manager-handleiding](NGINX_PROXY_MANAGER.md).
 
 ## Mailbox