feat: fase 1 — GLPI 11 com MariaDB, Redis, Caddy TLS e Backup

Stack production-grade com 6 containers Docker:
- GLPI 11.0.7 + worker dedicado de cron
- MariaDB 11.4 + Redis 7.4-alpine
- Caddy 2.8 com TLS automático (Let's Encrypt / interno)
- Backup agendado com restore testado
- Healthchecks em todos os serviços
- Hardening: cap_drop ALL, no-new-privileges, redes segregadas

Author: nilo-lima

.gitignore

@@ -0,0 +1,6 @@
+# Cada fase tem seu próprio .gitignore — este cobre a raiz
+.DS_Store
+Thumbs.db
+*.swp
+*~
+sources/

fase_01_glpi_mariadb_caddy/.env.example

@@ -0,0 +1,78 @@
+# ==============================================================================
+#  GLPI 11 Production Stack — Variáveis de Ambiente
+# ==============================================================================
+#  Copie este arquivo para .env e ajuste os valores.
+#  Permissões recomendadas: chmod 600 .env
+#  NUNCA commite o arquivo .env real no Git.
+# ==============================================================================
+
+# -----------------------------------------------------------------------------
+# Identificação do projeto (prefixo de containers, networks, volumes)
+# -----------------------------------------------------------------------------
+COMPOSE_PROJECT_NAME=glpi-prod
+
+# -----------------------------------------------------------------------------
+# Domínio público e TLS (Caddy)
+# -----------------------------------------------------------------------------
+# Domínio FQDN apontado para o IP público do servidor.
+# Para teste local, use algo como "glpi.localhost" e o Caddy gerará cert interno.
+GLPI_DOMAIN=glpi.exemplo.com.br
+
+# E-mail para o Let's Encrypt (avisos de expiração)
+ACME_EMAIL=admin@exemplo.com.br
+
+# -----------------------------------------------------------------------------
+# Versões pinadas (NUNCA usar 'latest' em produção)
+# -----------------------------------------------------------------------------
+GLPI_IMAGE_TAG=11.0.7
+MARIADB_IMAGE_TAG=11.4
+REDIS_IMAGE_TAG=7.4-alpine
+CADDY_IMAGE_TAG=2.8-alpine
+
+# -----------------------------------------------------------------------------
+# Banco de dados MariaDB
+# -----------------------------------------------------------------------------
+# IMPORTANTE: gere senhas fortes. Sugestão:
+#   openssl rand -base64 32
+# Use sempre aspas duplas — senhas com @, #, $, espaço quebram o source do .env sem elas.
+MARIADB_ROOT_PASSWORD="TROCAR_root_senha_forte_aqui"
+MARIADB_DATABASE=glpi
+MARIADB_USER=glpi
+MARIADB_PASSWORD="TROCAR_glpi_senha_forte_aqui"
+
+# -----------------------------------------------------------------------------
+# GLPI — auto-instalação
+# -----------------------------------------------------------------------------
+# A imagem oficial roda o instalador automaticamente na primeira subida.
+# Após primeira execução bem-sucedida, recomenda-se setar GLPI_SKIP_AUTOINSTALL=true.
+GLPI_SKIP_AUTOINSTALL=false
+GLPI_SKIP_AUTOUPDATE=false
+
+# Cron interno do GLPI (mantemos desativado no container web e ligado no container dedicado)
+GLPI_CRONTAB_ENABLED=false
+
+# Timezone usado pelo container GLPI (PHP)
+TZ=America/Sao_Paulo
+
+# -----------------------------------------------------------------------------
+# Redis (cache e sessões)
+# -----------------------------------------------------------------------------
+# Senha do Redis (acessível apenas pela rede interna, mas adicionamos auth por defesa em profundidade)
+REDIS_PASSWORD="TROCAR_redis_senha_forte_aqui"
+
+# -----------------------------------------------------------------------------
+# Backup
+# -----------------------------------------------------------------------------
+# Cron schedule para o backup automático (formato cron padrão).
+# Default: 03:00 todo dia.
+BACKUP_CRON_SCHEDULE="0 3 * * *"
+
+# Quantos dias de backup manter (rotação)
+BACKUP_RETENTION_DAYS=14
+
+# -----------------------------------------------------------------------------
+# Limites de recursos (ajuste conforme hardware do host)
+# -----------------------------------------------------------------------------
+GLPI_MEMORY_LIMIT=1G
+MARIADB_MEMORY_LIMIT=2G
+REDIS_MEMORY_LIMIT=256M

fase_01_glpi_mariadb_caddy/.gitignore

@@ -0,0 +1,71 @@
+# ==============================================================================
+#  .gitignore — GLPI 11 Production
+#  Blindagem contra vazamento de credenciais e dados de produção.
+# ==============================================================================
+
+# --- Segredos e configuração local ---
+.env
+.env.*
+!.env.example
+*.key
+*.pem
+*.crt
+*.p12
+*.pfx
+secrets/
+.secrets/
+
+# --- Dados persistentes (jamais versionar) ---
+services/caddy/data/*
+!services/caddy/data/.gitkeep
+services/caddy/config/*.json
+backups/
+data/
+volumes/
+
+# --- Logs ---
+*.log
+logs/
+services/*/logs/
+
+# --- Arquivos temporários ---
+*.tmp
+*.swp
+*.bak
+*~
+.DS_Store
+Thumbs.db
+
+# --- IDE / Editor ---
+.vscode/
+.idea/
+*.sublime-*
+
+# --- Python (utilitários) ---
+__pycache__/
+*.pyc
+.venv/
+venv/
+
+# --- Node (caso adicione frontend tooling) ---
+node_modules/
+
+# --- Docker overrides locais ---
+docker-compose.override.yml
+docker-compose.local.yml
+
+# --- Dumps de banco ---
+*.sql
+*.sql.gz
+*.dump
+
+# --- Claude Code: settings locais com secrets de MCP ---
+.claude/settings.local.json
+.claude/settings.json
+CLAUDE.local.md
+CLAUDE.md
+.claude/
+
+# --- Outros arquivos sensíveis ou específicos do ambiente ---
+docs/GIT-UPLOAD.md
+docs/AWS-DEPLOY.md

fase_01_glpi_mariadb_caddy/.mcp.json

@@ -0,0 +1,31 @@
+{
+  "_comment_": "MCPs do projeto. Atualmente vazio (Fase 1 não usa MCPs). Ver docs/MCP-STRATEGY.md para análise.",
+  "_when_to_add_": {
+    "fase_3_terraform": "Descomentar bloco 'terraform' abaixo quando iniciar Fase 3 (AWS)",
+    "ci_cd": "Descomentar bloco 'github' quando criar GitHub Actions para o projeto"
+  },
+  "mcpServers": {
+    "_terraform_disabled_": {
+      "_note_": "Renomear para 'terraform' (sem underscores) para ativar. Requer Docker no host.",
+      "command": "docker",
+      "args": [
+        "run",
+        "-i",
+        "--rm",
+        "hashicorp/terraform-mcp-server:0.3.0"
+      ]
+    },
+    "_github_disabled_": {
+      "_note_": "Renomear para 'github' (sem underscores) para ativar. PAT vem de .claude/settings.local.json (gitignored).",
+      "command": "docker",
+      "args": [
+        "run",
+        "-i",
+        "--rm",
+        "-e",
+        "GITHUB_PERSONAL_ACCESS_TOKEN",
+        "ghcr.io/github/github-mcp-server"
+      ]
+    }
+  }
+}

fase_01_glpi_mariadb_caddy/CONTRIBUTING.md

@@ -0,0 +1,83 @@
+# Contribuindo
+
+Contribuições são bem-vindas - relatos de bugs, melhorias na documentação e pull requests com novas funcionalidades ou correções.
+
+---
+
+## Reportando um bug
+
+Abra uma issue e inclua:
+
+- O que você esperava que acontecesse
+- O que aconteceu de fato (mensagem de erro, logs do container)
+- Seu ambiente: SO, versão do Docker, `docker compose version`
+- Qual fase da stack você está executando
+
+```bash
+# Informações úteis para anexar à issue
+docker compose version
+docker version --format '{{.Server.Version}}'
+docker compose ps
+docker compose logs --tail=50 <nome-do-serviço>
+```
+
+---
+
+## Sugerindo uma melhoria
+
+Abra uma issue descrevendo:
+
+- O problema que você quer resolver ou a lacuna que identificou
+- A abordagem que você propõe
+- Os trade-offs que você está ciente
+
+Para mudanças arquiteturais (novo serviço, alteração de rede, reestruturação de volumes), abra uma issue antes de submeter o PR para alinharmos a abordagem primeiro.
+
+---
+
+## Submetendo um pull request
+
+1. Faça um fork do repositório e crie uma branch a partir de `main`.
+2. Aplique suas mudanças seguindo as convenções abaixo.
+3. Teste localmente: `./scripts/bootstrap.sh` deve concluir sem erros.
+4. Abra o PR com uma descrição clara do quê e do porquê.
+
+---
+
+## Convenções
+
+Estas regras se aplicam a todas as contribuições:
+
+- **Sem tags `:latest` em imagens.** Sempre fixe uma versão específica (ex: `mariadb:11.4`).
+- **Um serviço por container.** Não agrupe múltiplos processos.
+- **Sem secrets hardcoded.** Todas as credenciais ficam no `.env`; referencie-as como `${VAR}` no `docker-compose.yml`.
+- **Todo serviço novo precisa de healthcheck**, política de `restart`, rotação de logs e `cap_drop: ALL`.
+- **Preserve os comentários existentes** no `docker-compose.yml` — eles documentam decisões arquiteturais, não apenas configuração.
+- **Scripts shell** devem começar com `set -euo pipefail` e ser compatíveis com Bash 4+.
+
+Consulte [`.claude/rules/devops-standards.md`](.claude/rules/devops-standards.md) para o conjunto completo de padrões.
+
+---
+
+## Validação rápida antes de fazer push
+
+```bash
+# Valida a config do Compose (detecta erros de sintaxe e variáveis ausentes)
+docker compose config
+
+# Sobe a stack completa
+./scripts/bootstrap.sh
+
+# Verifica se todos os containers estão saudáveis
+./scripts/healthcheck-all.sh
+
+# Testa backup e restore
+./scripts/backup-now.sh
+./scripts/restore.sh
+```
+
+---
+
+## Licença
+
+Ao contribuir, você concorda que suas contribuições serão licenciadas sob a [Licença MIT](LICENSE).

fase_01_glpi_mariadb_caddy/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Nilo Lima
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.