senzapaura_es/despliegue/senzapaura.nginx.conf

# Nginx por delante del servidor de Node.
#
#   sudo cp senzapaura.nginx.conf /etc/nginx/sites-available/senzapaura
#   sudo ln -sf /etc/nginx/sites-available/senzapaura /etc/nginx/sites-enabled/
#   sudo rm -f /etc/nginx/sites-enabled/default
#   sudo nginx -t && sudo systemctl reload nginx
#
# Ese `rm` del sitio por defecto importa: mientras esté, es él quien contesta a
# quien entra por IP, y se ve la página de bienvenida de Nginx en lugar de la
# web.
#
# Tal como está, sirve por IP y sin cifrar, que es lo que se puede hacer en una
# red local sin dominio. Al final del archivo está lo que hay que cambiar
# cuando lo haya.

server {
    # `default_server` es lo que hace que este sitio conteste a quien entra por
    # la IP o por un nombre que no coincida con ninguno. Sin esto, Nginx elige
    # el sitio `default` y enseña su bienvenida.
    listen 80 default_server;
    listen [::]:80 default_server;

    # `_` no casa con ningún nombre real: es la forma de decir «cualquiera».
    # Cuando haya dominio, aquí va el dominio.
    server_name _;

    # Los mp3 completos pesan varios megas; los fragmentos, cientos de kilos.
    client_max_body_size 20m;

    gzip on;
    gzip_vary on;
    gzip_min_length 1024;
    gzip_types
        text/plain text/css application/javascript application/json
        image/svg+xml application/xml application/rss+xml;

    # -----------------------------------------------------------------------
    # Estáticos con huella en el nombre
    #
    # Todo lo de `_app/immutable` lleva el hash del contenido en el nombre: si
    # cambia el archivo, cambia la URL. Por eso se puede cachear para siempre y
    # servirlo desde Nginx sin molestar a Node, que es lo que hace que abrir la
    # web no despierte al proceso para devolver un CSS.
    # -----------------------------------------------------------------------
    location /_app/immutable/ {
        root /var/www/senzapaura/build/client;
        access_log off;
        expires 1y;
        add_header Cache-Control "public, immutable";
        try_files $uri =404;
    }

    # Imágenes, fuentes, vídeo, los fragmentos de muestra y el panel. No llevan
    # huella, así que se cachean un día: lo justo para no pedirlos en cada
    # visita sin que un cambio tarde una semana en verse.
    location ~* ^/(images|background|video|muestras|admin)/ {
        root /var/www/senzapaura/build/client;
        access_log off;
        expires 1d;
        add_header Cache-Control "public";
        try_files $uri $uri/ =404;
    }

    # -----------------------------------------------------------------------
    # Todo lo demás, a Node
    #
    # Incluidas /descargas/… —que comprueban la compra antes de entregar el
    # archivo— y el webhook de Stripe. Ojo: las descargas NO se pueden servir
    # desde Nginx; el audio completo vive fuera de `build/` justamente para que
    # no haya forma de pedirlo por URL sin haberlo comprado.
    # -----------------------------------------------------------------------
    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;

        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Host  $host;

        # El limitador de envíos cuenta por IP. Sin las cabeceras de arriba,
        # todas las peticiones parecerían venir de 127.0.0.1 y el límite global
        # se dispararía con una sola persona insistiendo.

        # Un mp3 completo tarda en salir por una conexión lenta.
        proxy_read_timeout 300s;
        # Sin buffer: la descarga empieza a fluir en cuanto Node la manda, en
        # vez de esperar a que Nginx tenga el archivo entero.
        proxy_buffering off;
    }
}

# ---------------------------------------------------------------------------
# Cuando haya dominio
#
# 1. Cambiar `server_name _;` por `server_name DOMINIO www.DOMINIO;` y quitar
#    `default_server` de las dos líneas `listen` de arriba.
# 2. Poner el certificado:
#
#      sudo apt install -y certbot python3-certbot-nginx
#      sudo certbot --nginx -d DOMINIO -d www.DOMINIO
#
#    Certbot añade solo el bloque de 443 y la redirección desde el 80.
# 3. Cambiar `ORIGIN` en /var/www/senzapaura/.env a `https://DOMINIO` y
#    reiniciar el servicio. Sin eso, SvelteKit rechaza todos los formularios
#    con un 403 por comprobación de origen, y parece que la web está rota.
#
# Sin HTTPS no se puede publicar de cara al exterior: aquí se escriben correos
# y se paga.
# ---------------------------------------------------------------------------