From a9f3c8b7f393fe1426c9c38a8d98591c0b284b26 Mon Sep 17 00:00:00 2001
From: gapul <92638132+gapul@users.noreply.github.com>
Date: Fri, 11 Sep 2026 16:11:01 +0900
Subject: [PATCH] =?UTF-8?q?feat(homeserver):=20Orca=20=E3=81=AE=20Web=20?=
 =?UTF-8?q?=E3=82=AF=E3=83=A9=E3=82=A4=E3=82=A2=E3=83=B3=E3=83=88=E3=82=92?=
 =?UTF-8?q?=20orca.gapul.net=20=E3=81=AB=E5=87=BA=E3=81=99?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

スマホから使うには TLS が要る。平文 HTTP + 生 IP は secure context では
ないので crypto.randomUUID が無く、起動時に落ちる。
---
 nix/hosts/homeserver.nix | 11 +++++++++++
 1 file changed, 11 insertions(+)

diff --git a/nix/hosts/homeserver.nix b/nix/hosts/homeserver.nix
index 8a596941..9e72d867 100644
--- a/nix/hosts/homeserver.nix
+++ b/nix/hosts/homeserver.nix
@@ -141,6 +141,17 @@ let
     # RecallVault's iPhone client authenticates with its own bearer token, so this
     # machine endpoint must not be placed behind the browser-oriented Authelia flow.
     recall.upstream = "${macmini}:8766";
+    # Orca の Web クライアント (macmini の常駐ランタイム)。スマホから使うために TLS が要る:
+    # 平文 HTTP + 生 IP は secure context ではないので、起動時に
+    # `crypto.randomUUID is not a function` で落ちる。tailscale serve が同じものを
+    # https://macmini.tail079f44.ts.net に出しているが、MagicDNS がこのネットワークの
+    # 端末で解決できていない (ts.net の split route が OS に効かない) ので、
+    # 既に実績のある gapul.net 側に寄せる。
+    #
+    # Authelia は挟まない。ページ自体は開けても、ランタイムはペアリングコードの
+    # デバイストークンを持たないクライアントを受け付けない。つまり入口の鍵は
+    # 既にコード側にあり、vhost は tailnet 内からしか引けない。
+    orca.upstream = "${macmini}:6768";
     sync = {
       upstream = "127.0.0.1:8384"; # syncthing rejects requests whose Host it doesn't know
       extra = "header_up Host {upstream_hostport}";