Interne Tools von Agentic Ventures (kein Kunden-Bezug). Pattern analog av-shared bei AWS — Multi-Tenant nicht relevant, einfach nur „unsere Werkzeuge”.
Header
Feld
Wert
Project-Name (Hetzner)
tbd — aktuell laeuft das ueber den default HCLOUD_TOKEN, vermutlich erstes/aeltestes Project. Bei Konsole-Check nachpflegen.
Default-Region
nbg1 (Nuernberg)
Erstellt
2026-05-15
Zweck
Interne Tools (Stirling, ggf. spaeter weitere kleine Services)
Server-Name ist historisch — er hostet seit 2026-05-17 mehrere Services parallel (siehe Pattern-Doku kosten, Abschnitt “Shared CX23”). Bei mehr als 3-4 Services oder Memory-Druck → eigenen av-tools-monitoring-01 oder av-tools-shared-01 anlegen und umsiedeln.
Keine — Service akzeptiert beliebige Bearer-Tokens. OpenAI-kompatibel: POST /v1/audio/speech. Modell-Cache auf Docker-Volume supertonic_supertonic_cache. Verwendet von vf-chat.agenticventures.de (Open WebUI VF, TTS-Engine openai).
Server-Basis:
Docker + Compose (von download.docker.com, nicht Ubuntu-Variante)
cloudflared (Cloudflare-APT-Repo) als systemd-Service, terminiert alle Public-URLs ueber Tunnel av-tools (6537ca14-d606-4011-9062-d31d71b73b86)
fail2ban, unattended-upgrades, SSH key-only (kein Password, kein root-Password-Login)
Container-Bindings: Alle Container binden auf 127.0.0.1:<port> (kein 0.0.0.0). Public erreichbar ausschliesslich ueber Cloudflare Tunnel.
Token-Rotation: wenn Tunnel-Token kompromittiert: in CF Dashboard neuen Token generieren → ./install-tunnel.sh <new-token> auf Server.
Offene Punkte (Stand 2026-05-17)
Uptime-Kuma Initial-Admin anlegen — bei erstem Aufruf von uptime.agenticventures.de legt das UI den Admin-User an. Solange das nicht passiert, ist die Instanz fuer jeden, der die URL kennt, hijackbar. Zeitnah erstmaligen Login durchziehen.
Uptime-Kuma Monitoring-Targets anlegen — vorgeschlagene erste Liste (im UI eintragen):
Stirling Default-Login aendern — eingebaute Creds admin / stirling-pdf sind noch aktiv. Erst-Login geht aktuell ueber jeden der die URL findet. Im Browser unter pdf.agenticventures.de einloggen → Settings → Account → Password aendern.
User fuer Johanna Siepmann (VF) anlegen in Stirling Settings → User Management. Email klaeren (Annahme: johanna@vibe-factory.de).
Cloudflare Access davorschalten — beide Subdomains (pdf. + uptime.). Email-OTP-Layer als zweite Auth-Schicht. CF Dashboard → Zero Trust → Access → Applications → Add Self-hosted pro Subdomain, Email-Allowlist hello@marvinkuehlmann.com (+ Johanna fuer Stirling). Bis das passiert: Subdomain-URLs bewusst nicht weitergeben.
Mac-DNS-Quirk bei Marvin lokal — getaddrinfo resolved pdf.agenticventures.de nicht (curl/Browser → NXDOMAIN), waehrend dig korrekt 104.21.78.120 / 172.67.220.246 zurueckgibt. Workaround: /etc/hosts-Pin 172.67.220.246 pdf.agenticventures.de. Vom Handy + von anderen Geraeten geht’s. Separater Bug, nichts mit dem Server-Setup zu tun. Gleicher Workaround moeglicherweise fuer uptime.agenticventures.de noetig.
Kosten (Stand 2026-05-15)
Posten
EUR/Monat
Cloud Server cx23 (nbg1)
~5,00
Public IPv4
0,60
Traffic (im 20 TB Free-Quota)
0
Cloudflare Tunnel + Access (bis 50 User Free)
0
Summe
~5,60 €/Monat
Runbooks
Stirling-Update
ssh av-tools-stirlingcd /opt/stirlingdocker compose pull && docker compose up -d
Uptime-Kuma-Update
ssh av-tools-stirlingcd /opt/uptime-kumadocker compose pull && docker compose up -d
Neuen Service auf den Shared Host packen
/opt/<service>/docker-compose.yml anlegen, Container auf 127.0.0.1:<freier-port> binden (NICHT 0.0.0.0)
docker compose up -d und Container-Health pruefen
In /etc/cloudflared/config.yml zweite Ingress-Regel ergaenzen:
ssh av-tools-stirling reboot# cloudflared startet automatisch via systemd, Stirling via Docker restart-policy
User in Stirling anlegen (interner Login)
Marvin: einloggen unter pdf.agenticventures.de (nach Cloudflare-Access-OTP) → Admin-Settings → User Management → Add User. Erst-Login mit Default-User admin / stirling-pdf — MUSS beim ersten Login geaendert werden.