# --- À ajouter au .env de Laravel (voir docs/01-entra-app-registrations.md) ---
APP_NAME="Signatures CABM"
APP_URL=https://signature.beziers-mediterranee.fr
APP_LOCALE=fr
APP_TIMEZONE=Europe/Paris

DB_CONNECTION=mariadb
DB_HOST=db
DB_PORT=3306
DB_DATABASE=signature
DB_USERNAME=signature
DB_PASSWORD=changez-moi

SESSION_DRIVER=database
SESSION_SECURE_COOKIE=true
CACHE_STORE=database

# Tenant CABM
ENTRA_TENANT_ID=00000000-0000-0000-0000-000000000000

# App Registration « CABM Signatures - Back-office » (SSO admin + synchro Graph)
GRAPH_CLIENT_ID=00000000-0000-0000-0000-000000000000
GRAPH_CLIENT_SECRET=
SIGNATURE_GROUP_PREFIX=signature_

# App Registration « CABM Signatures - Add-in » (audience des jetons NAA)
ADDIN_CLIENT_ID=00000000-0000-0000-0000-000000000000
# Jetons v2 : aud = client id ; jetons v1 : aud = Application ID URI. Les deux sont acceptés.
ADDIN_API_AUDIENCES=00000000-0000-0000-0000-000000000000,api://signature.beziers-mediterranee.fr/00000000-0000-0000-0000-000000000000
ADDIN_API_SCOPE_NAME=access_as_user

# Rôles du back-office = groupes AD synchronisés
SIGNATURE_ROLE_SUPERADMIN_GROUP=signature_role_superadmin
SIGNATURE_ROLE_ADMIN_GROUP=signature_role_admin
SIGNATURE_ROLE_EDITOR_GROUP=signature_role_editeur

# short | full | none : variante en réponse/transfert si l'agent n'a rien choisi
SIGNATURE_DEFAULT_REPLY_VARIANT=short

# Réseaux autorisés pour /admin (vide = pas de filtrage applicatif)
SIGNATURE_ADMIN_ALLOWED_CIDRS=127.0.0.1/32,::1/128,10.0.0.0/8,172.16.0.0/12,192.168.0.0/16