docs: TASK_STATE with CrowdSec and the Traefik bouncer

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

TASK_STATE.md

@@ -23,12 +23,16 @@ Aplikacja wygodna na co dzień: stan „tu i teraz”, historia wersji, cisza no
 - Podwójny wpis modelu w runie: węzeł końcowy powtarzał wynik `post_upgrade`; liczony raz (`bcd144f`).
 - Krok modelu po aktualizacji (`c17b170`): `postUpgradeExecutor: null` znów wyłącza (port workflow czytał null jako sonnet), nowe `postUpgradeWhen` (`when_needed` domyślnie / `always`, migracja 25). `when_needed`: model tylko przy aktualizacji zatwierdzonej przez właściciela, major, migracji albo błędach w ostatnich 200 liniach logów (sesja observe, bez modelu). Na VM103 wyłączone dla 11 aplikacji (arr, jackett, bazarr, jellyfin, ombi, deluge, orcaslicer, homepage, trilium, nextcloud-redis), reszta sonnet + `when_needed`.
 - Haiku 5.5 jako trzeci model (`haiku`): domyślny dla notatek wydania (szukanie + ocena), naprawy, planu migracji i sprawdzenia po aktualizacji, gdy aplikacja nie wybrała modelu; profil `haiku` w seedzie, migracja 26 (przebudowa `app_config` dla CHECK), CLI w obrazie 2.1.293 (pierwsza wersja znająca `claude-haiku-5-5`). Wdrożone `b29aec3` (8.10); na VM103 wszystkie 22 aplikacje przełączone z `sonnet` na `haiku` (wyłączone zostały wyłączone).
-- Homelab-compose: whitelist deluge przepuszcza bramę sieci `proxy` (`172.16.0.1/32`), inaczej `verify` dostawał 403.
+- Homelab-compose (25.10): białe listy IP są w jednym miejscu, w etykietach Traefika: `lan@docker` (LAN, VPN, `172.16.0.0/12`) i `homes@docker` (`lan` + pule z Krosna). Gitea omija limit 429 dla tych samych zakresów; jej reguła `ClientIP` powtarza `homes`.
+- Traefik v3.7.16 na VM103 od 25.10 (`6546c9d` w homelab-compose): `ipallowlist`, metryki przez `influxDB2` do InfluxDB 1.13, `aliasHeadersStrategy=delete`. Arcane pobiera repo przez bezpośredni port Gitei `192.168.0.139:12224`, z pominięciem Traefika. forwardAuth homelab-upgrade ma `maxResponseBodySize` 1 MiB (`42ac6bf`, wdrożone).
+- CrowdSec v1.8.1 obok Traefika (25.10): czyta access log Traefika, a bouncer (lokalny plugin v1.8.1, middleware na `web-secured`) daje 403 dla banów. Gdy CrowdSec nie działa, ruch przechodzi; zakresy `homes` są zaufane i na allowliście. Lista `homes` jest więc w 4 miejscach (Traefik, Gitea, bouncer, CrowdSec).
+- Alerty Grafany na telefon (25.10): Traefik nie zapisuje metryk, appka zwraca 502–504, certyfikat poniżej 14 dni → webhook HA (lokalny, z pominięciem Traefika) → `notify.notify`. Reguły w homelab-compose `grafana/alerting/` (kopia z VM).
 - Proxmox: pełny dysk 30.09 zawiesił pmxcfs (brak vzdump 1–2.10); po restarcie usług PVE kopie działają. VM103: przycięte obrazy (dysk 89% → 64%).
 
 ## Pozostałe
 
 - Właściciel loguje się raz w przeglądarce i na telefonie (potwierdzenie Keycloak → aplikacja).
+- Po ~1.11: usunąć kopie sprzed Traefika v3 na VM103 (`/srv/appdata/traefik/letsencrypt/acme.json.v2-backup-20261025`, `/srv/appdata/traefik/compose.yaml.v2-backup-20261025`) i gałąź `traefik-v3` w homelab-compose.
 - Ze strumienia Git/Arcane: migracja klientów Influx przed włączeniem aktualizacji.
 - Zewnętrzny monitoring dostępności (na później): `verify` sprawdza tylko od środka (VM103, źródło `172.16.0.1`), więc nie widzi błędów whitelisty ani ścieżki publicznej (Ombi 16.10: Krosno zablokowane, `verify` zielony). Plan: Mikrus (87 zł/3 lata, bez Dockera) ze skryptem `curl` + cron, domeny i oczekiwane kody z `config/apps.json`, powiadomienie tylko przy zmianie stanu (ntfy albo Telegram), ostrzeżenie o certyfikacie. Do ustalenia: adres wychodzący Mikrusa (dopisać do whitelist), kanał powiadomień, skrypt w `deploy/`. Czeka na zakup serwera.
 - Do rozważenia: uproszczenie przebiegów (ustawienia per aplikacja zamiast edycji grafu, deklaratywny warunek zamiast funkcji TS), wyłączenie godzinnego sprawdzania aktualizacji obrazów w Arcane (dubluje nasz system), bramka „verify failed” bez opcji „accept”, sprzątanie `# saved as ./compose.yaml` z planów migracji, automatyczny `pg_dump` przed migracją bazy.
@@ -39,4 +43,4 @@ W pierwszym runie z modelem sprawdzić, że alias `haiku` w CLI 2.1.293 to Haiku
 
 ## Walidacja
 
-`npm run check`: 1320 testów PASS. `deploy/update.sh` sprawdzany na atrapie `docker` (instalacja, kopia bazy, nieudany start i nieudane `up`, przycinanie obrazów).
+`npm run check`: 1338 testów PASS. `deploy/update.sh` sprawdzany na atrapie `docker` (instalacja, kopia bazy, nieudany start i nieudane `up`, przycinanie obrazów).