feat(stacks): migrate paperless

stacks/paperless.opytex.org/env_file

@@ -0,0 +1,54 @@
+# =============================================================================
+# PAPERLESS-NGX — configuration NON sensible
+# =============================================================================
+# PAPERLESS_SECRET_KEY, PAPERLESS_DBPASS, PAPERLESS_ADMIN_PASSWORD et
+# SSO_CLIENT_SECRET sont dans secrets.env.yaml, injectés par `sops exec-env`.
+#
+# Ce fichier ne contient QUE ce que les conteneurs consomment. Le domaine, la
+# version d'image et le bloc SSO restent en dur dans docker-compose.yml :
+# `env_file:` n'alimente pas l'interpolation ${...}, et une version en dur est
+# détectée par Renovate.
+# =============================================================================
+
+# --- UID/GID du process paperless dans le conteneur ---
+# Doit correspondre au propriétaire du dossier `consume` sur l'hôte.
+USERMAP_UID=1000
+USERMAP_GID=1000
+
+# --- Domaine ---
+PAPERLESS_URL=https://paperless.opytex.org
+
+# --- Divers ---
+PAPERLESS_TIME_ZONE=Europe/Paris
+
+# --- OCR ---
+# LANGUAGES : paquets tesseract installés au démarrage.
+# LANGUAGE  : langue utilisée pour l'OCR.
+PAPERLESS_OCR_LANGUAGES=eng fra
+PAPERLESS_OCR_LANGUAGE=fra+eng
+
+# --- Services internes ---
+PAPERLESS_REDIS=redis://broker:6379
+PAPERLESS_DBHOST=db
+PAPERLESS_TIKA_ENABLED=1
+PAPERLESS_TIKA_GOTENBERG_ENDPOINT=http://gotenberg:3000
+PAPERLESS_TIKA_ENDPOINT=http://tika:9998
+
+# --- Base de données ---
+# POSTGRES_* est lu par le conteneur `db` (et par le script de sauvegarde, qui
+# fait `docker exec printenv POSTGRES_DB/USER/PASSWORD` pour le dump).
+# PAPERLESS_DB* est lu par le conteneur `webserver`. Les deux doivent
+# concorder.
+POSTGRES_DB=paperless
+POSTGRES_USER=paperless
+PAPERLESS_DBNAME=paperless
+PAPERLESS_DBUSER=paperless
+
+# --- Compte administrateur local ---
+# Porte de secours si le SSO tombe. Le mot de passe est dans secrets.env.yaml.
+PAPERLESS_ADMIN_USER=waha-local
+
+# --- SSO OpenID Connect (Authentik) ---
+# Le provider lui-même est déclaré dans PAPERLESS_SOCIALACCOUNT_PROVIDERS,
+# côté docker-compose.yml.
+PAPERLESS_APPS=allauth.socialaccount.providers.openid_connect