Variables d'environnement

Où se trouvent les paramètres

Créez le fichier de chaque application à partir du .env.example placé à côté, qui documente chaque variable : cp .env.example .env. Les exemples fonctionnent tels quels pour une exécution en local.

Où se trouvent les paramètres

Un seul fichier, .env dans le dossier du site, lu au moment du build du site. Toutes ses valeurs sont publiques, il ne contient donc jamais de secret : les clés de paiement et d'IA se trouvent dans le .env de l'API. Créez-le à partir de .env.example, qui pointe vers une API sur http://localhost:8000 : cp .env.example .env.

Où se trouvent les paramètres

Un seul fichier, .env dans le dossier du tableau de bord, lu au moment du build du tableau de bord. Toutes ses valeurs sont publiques, il ne contient donc jamais de secret : les clés d'IA se trouvent dans le .env de l'API. Créez-le à partir de .env.example, qui pointe vers une API sur http://localhost:8000 : cp .env.example .env.

Où se trouvent les paramètres

Un seul fichier, .env dans le dossier de l'API, lu par l'API avec yarn dev, et par un conteneur quand vous le passez avec --env-file .env. Il contient des secrets : ne le commitez jamais. Créez-le à partir de .env.example, qui documente chaque variable et fonctionne tel quel pour une exécution en local : cp .env.example .env.

L'image Docker définit ses propres valeurs par défaut, donc docker run fonctionne sans fichier : SQLite dans /data/database.sqlite, fichiers envoyés dans /data/uploads, CORS_ORIGIN pour les deux frontends locaux, PUBLIC_MEDIA_URL=http://localhost:8000/media et SEED_DEMO_DATA=false. Remplacez n'importe laquelle avec -e.

Paramètres essentiels de l'API

L'API vérifie JWT_SECRET et, en production, CORS_ORIGIN avant de démarrer. Si l'une manque ou est inutilisable, elle s'arrête avec une ligne qui indique quoi corriger.

Générez votre propre JWT_SECRET avec :

node -e "console.log(require('crypto').randomBytes(48).toString('hex'))"

Chaque fonctionnalité optionnelle ci-dessous reste désactivée tant que ses lignes dans .env.example restent en commentaire.

Utiliser MySQL au lieu de SQLite

Créez une base de données vide, puis définissez le pilote et la connexion dans le .env de l'API :

DB_TYPE=mysql
DB_HOST=your-mysql-host
DB_PORT=3306
DB_USERNAME=your-mysql-username
DB_PASSWORD=your-mysql-password
DB_DATABASE=your-database-name

Lancez ensuite yarn seed pour le restaurant de démonstration, ou yarn db:sync pour les tables sans données. L'API en fonctionnement ne crée et ne met à jour les tables elle-même que lorsque NODE_ENV=development : avec NODE_ENV=production, l'une de ces commandes doit donc être lancée avant le premier démarrage (yarn seed:prod ou yarn db:sync:prod après yarn build).

Site de commande et tableau de bord du personnel

Chaque valeur NEXT_PUBLIC_* est compilée dans le JavaScript chargé par le navigateur, et toute personne qui ouvre la page peut la lire. Ne mettez jamais de secret dans ces fichiers, et reconstruisez après en avoir modifié un.

Les balises marketing du site sont elles aussi des valeurs NEXT_PUBLIC_*.

• Analytics et pixels de suivi

Options de Docker Compose

Rien n'est à définir pour une exécution en local. Pour changer quelque chose, placez-le dans un fichier .env à côté de docker-compose.yml et relancez docker compose up --build : les frontends intègrent ces valeurs à la compilation.

Changez un port quand un autre programme l'utilise déjà, par exemple ADMIN_PORT=3041. CORS_ORIGIN, FRONTEND_URL, STOREFRONT_URL, API_PUBLIC_URL et PUBLIC_MEDIA_URL de l'API, ainsi que l'adresse de l'API dans les frontends, sont tous construits à partir des ports et des trois adresses : ils suivent donc d'eux-mêmes.

Le conteneur de l'API lit aussi back-end/.env s'il existe : les clés de paiement, d'e-mail, de médias et d'IA se définissent donc à un seul endroit, pour yarn dev comme pour Docker. Le fichier compose l'emporte pour les valeurs qui diffèrent dans un conteneur : le chemin de la base de données, le dossier des fichiers envoyés, le port, NODE_ENV=production et les adresses ci-dessus. La base de données et les fichiers envoyés se trouvent dans le volume food-studio-data.

Stockage des médias

L'API sert elle-même les photos de démonstration, depuis public/media/food-studio, sous /media/food-studio/…. Les fichiers envoyés depuis le tableau de bord (photos de plats, photos de profil, résultats du studio IA) sont stockés sur le disque de l'API dans MEDIA_UPLOAD_DIR et servis sous /media/uploads/…, sauf si un bucket est configuré.

PUBLIC_MEDIA_URL=http://localhost:8000/media
MEDIA_UPLOAD_DIR=./public/media/uploads

PUBLIC_MEDIA_URL est l'adresse à laquelle /media est joignable depuis un navigateur. Les données de démonstration l'écrivent dans l'adresse de chaque photo : définissez-la donc avant le premier chargement des données sur un serveur. Sur un serveur, faites pointer MEDIA_UPLOAD_DIR vers un stockage persistant ; avec Docker, il se trouve dans le volume de données.

Pour envoyer les fichiers vers Cloudflare R2, ou tout bucket compatible S3, définissez les cinq variables, et donnez aux deux frontends l'hôte public du bucket via NEXT_PUBLIC_MEDIA_HOSTNAME (avec Docker Compose, MEDIA_HOSTNAME). Définissez les cinq ou aucune.

R2_ACCESS_KEY_ID=your-r2-access-key-id
R2_SECRET_ACCESS_KEY=your-r2-secret-access-key
R2_ENDPOINT=https://your-account-id.r2.cloudflarestorage.com
R2_BUCKET_NAME=your-bucket-name
R2_PUBLIC_URL=https://your-public-url.r2.dev

Paiements

Le paiement envoie le client sur la page de Stripe ou de PayPal. Définissez STRIPE_SECRET_KEY et STRIPE_WEBHOOK_SECRET, ou PAYPAL_CLIENT_ID, PAYPAL_CLIENT_SECRET et PAYPAL_WEBHOOK_ID (avec PAYPAL_ENV, sandbox par défaut). Sans prestataire configuré, le paiement propose un paiement de démonstration intégré qui marque une commande comme payée sans déplacer d'argent.

STRIPE_SECRET_KEY=sk_test_your-stripe-secret-key
STRIPE_WEBHOOK_SECRET=whsec_your-webhook-secret

• Configurer les paiements

E-mail

Les liens de réinitialisation du mot de passe sont envoyés via Resend. Les deux valeurs sont nécessaires : une clé avec accès d'envoi, et une adresse d'expéditeur sur un domaine vérifié dans Resend. Sans elles, « Forgot password » répond toujours comme d'habitude, aucun message n'est envoyé et le journal indique que l'e-mail n'est pas configuré.

RESEND_API_KEY=re_your-sending-access-key
MAIL_FROM=Food Studio <noreply@your-domain.com>
MAIL_MAX_PER_ADDRESS_PER_DAY=5

Le lien ouvre la page de réinitialisation du site sur STOREFRONT_URL, dans la langue du client, et fonctionne une seule fois dans l'heure. Une adresse reçoit au plus MAIL_MAX_PER_ADDRESS_PER_DAY messages par jour, 5 par défaut.

Fonctionnalités IA

Le serveur MCP

Mode démo

Mise en ligne

Avant de déployer quelque part en public :

1. Dans le .env de l'API, définissez NODE_ENV=production et votre propre JWT_SECRET, long et aléatoire.
2. Définissez CORS_ORIGIN avec les adresses du site et du tableau de bord, FRONTEND_URL avec celle du tableau de bord, STOREFRONT_URL avec celle du site, API_PUBLIC_URL avec celle de l'API, et PUBLIC_MEDIA_URL avec l'adresse de l'API suivie de /media.
3. Sur une nouvelle base de données, lancez yarn build, puis yarn seed:prod une fois (ou yarn db:sync:prod pour des tables vides), puis yarn start:prod. Il n'y a pas de migrations : c'est le seeder qui gère le schéma.
4. Gardez les fichiers envoyés sur un stockage persistant : un bucket, ou MEDIA_UPLOAD_DIR sur un disque qui survit à un déploiement.
5. Faites pointer la vérification de santé de votre hébergeur vers /api/health, et définissez TRUST_PROXY quand un reverse proxy se trouve devant l'API.
6. Construisez chaque frontend avec NEXT_PUBLIC_API_BASE_URL pointant vers votre API déployée ; le tableau de bord aussi avec NEXT_PUBLIC_WEBSOCKET_BASE_URL, NEXT_PUBLIC_DASHBOARD_URL et NEXT_PUBLIC_STOREFRONT_URL.
7. Sur le site, définissez domain.url dans src/config/brand.config.ts, et réécrivez la politique de confidentialité et les conditions dans messages/legal pour votre établissement.
8. Dans le tableau de bord, configurez vos cuisines, leurs horaires et codes postaux de livraison, vos frais et codes promo, et passez l'horloge de service sur Real : les données de démonstration la démarrent sur l'horloge de démo, qui garde toutes les cuisines ouvertes.
9. Changez les mots de passe de démonstration, ou supprimez les comptes, et passez les paiements sur des clés de production.