fix(freshrss): protect web while leaving api available

freshrss/README.md

@@ -14,5 +14,6 @@ El primer acceso abre el instalador de FreshRSS. Para este servidor se usa SQLit
 con persistencia en `/opt/freshrss`.
 
 El enrutado publico vive en `/opt/traefik/dynamic/freshrss.yml`.
-FreshRSS no usa Authentik ni Sablier: las apps moviles necesitan acceder a la
-API de FreshRSS directamente con la contrasena API del usuario.
+La web pasa por Authentik, pero la API de FreshRSS queda expuesta sin SSO para
+clientes moviles. FreshRSS no usa Sablier y las apps deben usar la contrasena
+API del usuario.

freshrss/traefik-freshrss.yml

@@ -1,7 +1,8 @@
 http:
   routers:
-    freshrss:
-      rule: Host(`rss.sherlockhomeless.net`)
+    freshrss-api:
+      rule: Host(`rss.sherlockhomeless.net`) && (PathPrefix(`/api/`) || Path(`/api`) || PathPrefix(`/p/api/`) || Path(`/p/api`))
+      priority: 100
       entryPoints:
         - websecure
       tls:
@@ -10,6 +11,18 @@ http:
         - crowdsec-bouncer@file
       service: freshrss
 
+    freshrss:
+      rule: Host(`rss.sherlockhomeless.net`)
+      priority: 10
+      entryPoints:
+        - websecure
+      tls:
+        certResolver: letsencrypt
+      middlewares:
+        - crowdsec-bouncer@file
+        - ths-authentik@docker
+      service: freshrss
+
   services:
     freshrss:
       loadBalancer: