feat(infra): HTTPS + Frontend HTTP/2 via undici + E2E-Adaption #307

Merged

niboer merged 2 commits from issue-290-https-certs into main 2026-07-19 20:01:51 +00:00

Conversation 0 Commits 2 Files changed 39 +527 -106

niboer commented 2026-07-19 19:25:04 +00:00

Owner

Copy link

closes #290

Allgemein

HTTPS-Zertifikate fuer Backend, Frontend und Keycloak — sowohl fuer CI/CD (verpflichtend) als auch optional fuer lokale Entwicklung. Eigene Dev-CA als Trust-Anchor.

HTTPS-Unterstuetzung

Dienst	Ohne Certs	Mit Certs
backend-api	HTTP/1.1	HTTP/2 + HTTPS
frontend	HTTP/1.1	HTTP/2 mit HTTP/1.1-Fallback (allowHTTP1: true)
keycloak	start-dev (HTTP)	start (HTTPS, Port 8443)
e2e-runner	HTTP-URLs	HTTPS + NODE_EXTRA_CA_CERTS

Frontend HTTP/2 (fetch2-Wrapper)

Node.js built-in fetch() (undici v7) spricht nur HTTP/1.1. Da das Backend aber rein HTTP/2 spricht, wurde ein Wrapper via npm-undici v8 mit Agent({ allowH2: true }) implementiert:

• src/lib/server/fetch.ts — exportiert fetch2() via npm-undici v8 (HTTP/2 by default)
• Alle 4 ausgehenden fetch()-Aufrufe umgestellt: Health, BFF-Proxy, Callback, Token-Refresh
• In Tests (VITEST=true) delegiert fetch2 an globalThis.fetch (bestehende Mocks bleiben kompatibel)
• Built-in undici v7 bleibt unberuehrt, kein globaler Konflikt
• Test server.test.ts warnt wenn built-in undici auf v8+ upgradet (dann kann npm-Dep entfernt werden)

E2E-Adaptionen

• e2e/docker-compose.e2e.yml: HTTPS-Override-URLs + Env-Vars auch fuer e2e-runner
• playwright.config.ts: ignoreHTTPSErrors: true
• global-setup.ts: Retry-Loop fuer Podman-pasta-ERR_NETWORK_CHANGED
• scripts/docker-test.mjs: Health-Check via frontend-Container (undici statt host-fetch)
• scripts/generate-dev-certs.mjs: Config per tmpdir statt <(echo) (kompatibel mit dash/sh)

Weitere Aenderungen

• COOKIE_SECURE-Env-Var ersetzt hardcodiertes secure: false an 18+ Stellen
• keycloak/entrypoint.sh: Automatische Umschaltung start/start-dev
• keycloak.conf: db=postgres, spi-connections-jpa-quarkus-async-commit, proxy-headers=xforwarded
• .env.example aufs Wesentliche reduziert (nur ENCRYPTION_KEY aktiv)
• Alle Zertifikatsdateien via chmod 644 + SELinux :z fuer Container-Lesbarkeit
• Backend-Cert SAN auf backend-api.integration.local korrigiert

closes #290 ## Allgemein HTTPS-Zertifikate fuer Backend, Frontend und Keycloak — sowohl fuer CI/CD (verpflichtend) als auch optional fuer lokale Entwicklung. Eigene Dev-CA als Trust-Anchor. ## HTTPS-Unterstuetzung | Dienst | Ohne Certs | Mit Certs | |--------|-----------|-----------| | backend-api | HTTP/1.1 | HTTP/2 + HTTPS | | frontend | HTTP/1.1 | HTTP/2 mit HTTP/1.1-Fallback (`allowHTTP1: true`) | | keycloak | start-dev (HTTP) | start (HTTPS, Port 8443) | | e2e-runner | HTTP-URLs | HTTPS + NODE_EXTRA_CA_CERTS | ## Frontend HTTP/2 (fetch2-Wrapper) Node.js built-in `fetch()` (undici v7) spricht nur HTTP/1.1. Da das Backend aber rein HTTP/2 spricht, wurde ein Wrapper via npm-undici v8 mit `Agent({ allowH2: true })` implementiert: - `src/lib/server/fetch.ts` — exportiert `fetch2()` via npm-undici v8 (HTTP/2 by default) - Alle 4 ausgehenden `fetch()`-Aufrufe umgestellt: Health, BFF-Proxy, Callback, Token-Refresh - In Tests (VITEST=true) delegiert `fetch2` an `globalThis.fetch` (bestehende Mocks bleiben kompatibel) - Built-in undici v7 bleibt unberuehrt, kein globaler Konflikt - Test `server.test.ts` warnt wenn built-in undici auf v8+ upgradet (dann kann npm-Dep entfernt werden) ## E2E-Adaptionen - `e2e/docker-compose.e2e.yml`: HTTPS-Override-URLs + Env-Vars auch fuer e2e-runner - `playwright.config.ts`: `ignoreHTTPSErrors: true` - `global-setup.ts`: Retry-Loop fuer Podman-pasta-ERR_NETWORK_CHANGED - `scripts/docker-test.mjs`: Health-Check via frontend-Container (undici statt host-fetch) - `scripts/generate-dev-certs.mjs`: Config per tmpdir statt <(echo) (kompatibel mit dash/sh) ## Weitere Aenderungen - `COOKIE_SECURE`-Env-Var ersetzt hardcodiertes `secure: false` an 18+ Stellen - `keycloak/entrypoint.sh`: Automatische Umschaltung start/start-dev - `keycloak.conf`: db=postgres, `spi-connections-jpa-quarkus-async-commit`, `proxy-headers=xforwarded` - `.env.example` aufs Wesentliche reduziert (nur ENCRYPTION_KEY aktiv) - Alle Zertifikatsdateien via `chmod 644` + SELinux `:z` fuer Container-Lesbarkeit - Backend-Cert SAN auf `backend-api.integration.local` korrigiert

niboer added 1 commit 2026-07-19 19:25:04 +00:00

feat(infra): HTTPS + Frontend HTTP/2 via undici + E2E-Adaption ... 4ca5f0c30e

refs #290

HTTPS-Zertifikate fuer Backend, Frontend und Keycloak inklusive CI/CD
und optionaler lokaler Entwicklung. Eigene Dev-CA.

Backend:
  - SSL_KEY_PATH/SSL_CERT_PATH fuer HTTP/2 + HTTPS
  - NODE_EXTRA_CA_CERTS als CA-Trust (Node.js built-in)

Frontend:
  - Custom Entrypoint server.mjs fuer adapter-node (HTTP/2 mit HTTP/1.1-Fallback)
  - COOKIE_SECURE-Env-Var als Ersatz fuer hardcodiertes secure=false
  - fetch2-Wrapper via undici v8 npm (HTTP/2 + voller CA-Trust)
  - Alle ausgehenden fetch()-Aufrufe umgestellt: Health, BFF-Proxy, Callback, Auth

Keycloak:
  - entrypoint.sh: Automatisch start (HTTPS) vs start-dev (HTTP)
  - keycloak.conf + proxy-headers

Infra/E2E/CI:
  - docker-compose.yml: Certs-Volumes + Env-Vars fuer alle Dienste
  - e2e/docker-compose.e2e.yml: HTTPS-Overrides + e2e-runner Vars
  - scripts/generate-dev-certs.mjs: CA + Certs via openssl (tmpdir, kein <(echo))
  - scripts/docker-test.mjs: Health-Check via frontend-Container (undici)
  - Playwright: ignoreHTTPSErrors + SSL_CERT_FILE
  - global-setup: Retry-Loop fuer Podman-pasta-ERR_NETWORK_CHANGED

Testing:
  - backend: ssl.test.ts (2 Tests)
  - frontend: server.test.ts + undici-built-in-v8-Check
  - vitest.config.ts: env-Vars fixiert (unabhaengig von lokaler .env)

Doku: README, .env.example, AGENTS.md x3, docs/design/*

niboer added 1 commit 2026-07-19 19:45:54 +00:00

test(frontend): nicht-benötigten SSL-Zertifikats-Unit-Test entfernt ... 78a64a3881

Dieser Test prüfte auf existierende dev-Certs unter dev/certs/,
die weder in CI noch in der lokalen Unit-Test-Umgebung vorhanden sind.
Der verbleibende Test ('erkennt fehlende SSL-Zertifikate') deckt
den Fall ohne Certs ab und läuft überall.

niboer merged commit 8fdf48e5d4 into main 2026-07-19 20:01:51 +00:00

niboer deleted branch issue-290-https-certs 2026-07-19 20:01:51 +00:00

niboer referenced this pull request from a commit 2026-07-19 20:01:52 +00:00

feat(infra): HTTPS + Frontend HTTP/2 via undici + E2E-Adaption (#307)

Sign in to join this conversation.

Reviewers

No reviewers

Labels

Clear labels   

component/backend

Backend-Komponente

  

component/docs

Dokumentation (README, design.md, AGENTS.md)

  

component/e2e

E2E-Testinfrastruktur (Playwright, Docker-E2E-Runner)

  

component/frontend

Frontend (Cloudflare Worker, BFF, UI)

  

component/infra

Infrastruktur (Docker, CI/CD, Build)

  

component/keycloak

Keycloak (Realm, Theme, Admin API)

  

prio/high

Hohe Prioritaet (blockierend/kritisch)

  

prio/low

Niedrige Prioritaet

  

prio/medium

Mittlere Prioritaet

  

type/bug

Fehler oder unerwartetes Verhalten

  

type/chore

Wartungs- und Konfigurationsaufgaben

  

type/feature

Neues Feature

  

type/refactor

Refactoring

  

type/test

Tests

No labels

component/backend

component/docs

component/e2e

component/frontend

component/infra

component/keycloak

prio/high

prio/low

prio/medium

type/bug

type/chore

type/feature

type/refactor

type/test

Milestone

Clear milestone

No items

No milestone

Projects

Clear projects

No items

No project

Assignees

Clear assignees

No assignees

1 participant

Notifications

Subscribe

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference

WompSchmiede/FamilienFeierPlaner!307

No description provided.