services:
  news-mcp:
    build: .
    image: news-mcp
    container_name: news-mcp
    env_file: .env
    environment:
      # Dentro do container escuta em todas as interfaces; a exposição fica
      # restrita ao localhost da VPS pelo mapeamento de portas abaixo.
      NEWS_MCP_HOST: "0.0.0.0"
      DB_PATH: "/data/news.db"
      FEEDS_PATH: "/app/feeds.json"
    ports:
      # 127.0.0.1 → só o nginx (mesma máquina) alcança. NUNCA use 0.0.0.0 aqui.
      - "127.0.0.1:17631:17631"
    volumes:
      - newsdata:/data                  # banco persistente (news.db + WAL)
      - ./feeds.json:/app/feeds.json:ro # edite as fontes sem rebuild
    restart: unless-stopped
    # ── Endurecimento ──
    read_only: true
    tmpfs:
      - /tmp
    cap_drop:
      - ALL
    security_opt:
      - no-new-privileges:true

volumes:
  newsdata: