publish -> link -> read testattu "e2e"

port forward, local publish ja luettu tämän repon linkin luomisen mallisella url julkaistu raportti

gitea-reports/Chart.yaml

@@ -0,0 +1,5 @@
+apiVersion: v2
+name: git-pages
+description: Nginx + upload-sidecar for CI HTML reports (static serving, Traefik BasicAuth publish)
+type: application
+version: 0.2.0

gitea-reports/README.md

@@ -0,0 +1,179 @@
+# gitea-reports
+
+Jaettu **Gitea CI -raporttien** tallennus- ja lukupaikka: HTML-raportit (esim. Cucumber)
+commit-kohtaisiin polkuihin, selaimella avattavina linkkeinä Gitean commitin CI-job
+raportista. Kuvaus ja perustelut: [docs/](docs/).
+
+---
+
+## Quick Start
+
+### 1. Secretit
+
+Luo secretit ennen Helm-asennusta: [docs/secrets.md](docs/secrets.md)
+
+```bash
+# Avaa secrets.md ja suorita snipletit siellä
+# Palaa tähän jälkeen Helm-asennukseen
+```
+
+### 2. Instanssin values-tiedosto
+
+```bash
+# Muokkaa oma values-tiedosto (tai käytä dev-values.yaml)
+cp gitea-reports/dev-values.yaml my-values.yaml
+# Muuta: ingress.host, certificate.issuerRef.name, jne.
+```
+
+### 3. Helm-asennus
+
+```bash
+NS=gitea-reports
+VALUES=gitea-reports/dev-values.yaml
+
+helm upgrade --install gitea-reports ./gitea-reports \
+  -n "$NS" --create-namespace \
+  -f "$VALUES"
+
+helm template gitea-reports ./gitea-reports -n "$NS" -f "$VALUES"
+```
+
+Nginx ja upload-sidecar käynnistyvät suoraan ilman init-vaihetta.
+PV on tyhjä ennen ensimmäistä CI-julkaisua.
+
+---
+
+## Vie publish-token Gitea Actions-secretiin (per repo)
+
+⚠️ **Tehtävä jokaiselle repoille**, joka julkaisee raportteja gitea-reportsiin.
+
+```bash
+NS=gitea-reports
+REPO_OWNER="niko"
+REPO_NAME="gitea-ci-library"
+
+# 1. Lue plaintext-token erillisestä secretistä
+TOKEN=$(kubectl get secret gitea-reports-publish-token -n "$NS" -o jsonpath='{.data.token}' | base64 -d)
+
+# 2. Kopioi leikepöydälle
+echo -n "$TOKEN" | pbcopy   # macOS
+# echo -n "$TOKEN" | xclip -sel clip  # Linux
+
+# 3. Avaa Gitea Actions secrets -sivu
+open "https://gitea.app.keskikuja.site/${REPO_OWNER}/${REPO_NAME}/settings/actions/secrets"
+# Linux: xdg-open "https://gitea.app.keskikuja.site/${REPO_OWNER}/${REPO_NAME}/settings/actions/secrets"
+```
+
+**Gitea UI:ssa:** New Secret → Name: `GIT_PAGES_PUBLISH_TOKEN` → Value: **liitä leikepöydältä** → Save
+
+> 💡 **Monelle repoille:** Toista vaiheet 3–4, tai katso [automatisointi](docs/secrets.md#automatisointi-useamman-repon-salaisuuden-lis%C3%A4%C3%A4miseen).
+
+--- 
+ 
+## Käyttöönotto
+
+### 1. Secretit
+
+[docs/secrets.md](docs/secrets.md)
+
+### 2. Instanssin values-tiedosto
+
+`values.yaml` sisältää jaetut vakiot. Ympäristökohtaiset arvot omaan tiedostoon, esim.
+`dev-values.yaml` / `prod-values.yaml`:
+
+```yaml
+ingress:
+  host: pages.example.com          # julkinen host (luku + julkaisu)
+
+certificate:
+  issuerRef:
+    name: letsencrypt-prod         # cert-manager ClusterIssuer / Issuer
+    kind: ClusterIssuer
+
+persistence:
+  storageClass: ""                 # tyhjä = klusterin oletus
+  size: 5Gi
+
+retention:
+  giteaApiUrl: https://gitea.example.com
+  rules:
+    default:
+      maxAgeDays: 90
+      keepMin: 5
+    branches:
+      main:
+        maxAgeDays: 365
+        keepMin: 20
+```
+
+Esimerkki dev-ympäristöstä: [dev-values.yaml](dev-values.yaml).
+
+### 3. Helm-asennus
+
+Repojuuresta (sama `NS` kuin [docs/secrets.md](docs/secrets.md)):
+
+```bash
+NS=gitea-reports
+VALUES=gitea-reports/dev-values.yaml
+
+helm upgrade --install gitea-reports ./gitea-reports \
+  -n "$NS" --create-namespace \
+  -f "$VALUES"
+
+helm template gitea-reports ./gitea-reports -f "$VALUES"
+```
+ 
+---
+
+## CI-julkaisu
+
+Julkaisu DNS-osoitteeseen BasicAuthilla:
+
+```bash
+# Esimerkki: julkaise raportti
+curl -X PUT \
+  -u publish:$GIT_PAGES_PUBLISH_TOKEN \
+  -H "Content-Type: application/tar+gz" \
+  --data-binary @report.tar.gz \
+  https://ci-reports.helm-dev.keskikuja.site/{owner}/{repo}/{branch}/{sha8}/{suite}/
+```
+
+**Vaaditut asetukset:**
+
+| Missä | Arvo |
+|-------|------|
+| Gitea Actions secret | `GIT_PAGES_PUBLISH_TOKEN` (sama kuin K8s `gitea-reports-publish-token` `token`-avain) |
+| Scriptissä | `bash scripts/publish-gitea-reports.sh <suite>` |
+
+**K8s secretit (Traefik-yhteensopivuus):**
+- `gitea-reports-publish-auth` = htpasswd (Traefik BasicAuth middleware)
+- `gitea-reports-publish-token` = plaintext (luetaan Giteaan viedessä)
+
+Tarkemmat secret-ohjeet: [docs/secrets.md](docs/secrets.md).
+
+---
+
+## Testaus
+
+Retention-logiikalle on unit-testit, jotka testaa funktiot ja Phase 3 -säännöt
+erikseen ilman ulkoisia riippuvuuksia.
+
+```bash
+cd gitea-reports
+bats tests/retention.bats
+```
+
+Testit käyttävät `<root>/files/retention-lib.sh` -jaettua kirjastoa, jota myös
+`retention-cleanup.sh` sourceaa.
+
+**Vaatimukset:** `bats`, `jq`, `date` (GNU date tai BSD date ISO 8601 -tuella).
+
+---
+
+## Retention
+
+Ylläpitoscripti, joka poistaa vanhat raportit PV:ltä suoraan retention‑sääntöjen mukaan.
+Ajetaan CronJobina Kubernetesissa.
+
+Retention lukee PV:tä suoraan (find, ls, stat), tarkistaa branchin olemassaolon Giteasta,
+ja poistaa vanhat commit-kansiot `rm -rf`-komentona. Ei HTTP API:a retentionia varten.

gitea-reports/dev-values.yaml

@@ -0,0 +1,29 @@
+# Dev instance — overrides values.yaml constants.
+#   helm upgrade --install gitea-reports ./gitea-reports -n gitea-reports -f dev-values.yaml
+
+ingress:
+  host: ci-reports.helm-dev.keskikuja.site
+
+certificate:
+  issuerRef:
+    name: letsencrypt-prod
+    kind: ClusterIssuer
+
+persistence:
+  storageClass: ""
+  size: 5Gi
+
+retention:
+  enabled: true
+  giteaApiUrl: https://gitea.app.keskikuja.site
+  rules:
+    branches:
+      default:
+        minAgeDays: 3
+        keepMin: 5
+      main:
+        minAgeDays: 3
+        keepMin: 10
+      master:
+        minAgeDays: 3
+        keepMin: 10

gitea-reports/docs/architecture.md

@@ -0,0 +1,82 @@
+# Architecture — Nginx + upload-sidecar
+
+> git-pages on korvattu. Uusi arkkitehtuuri: Nginx palvelee staattisia tiedostoja PV:ltä, upload-sidecar (busybox httpd + CGI) ottaa vastaan tar.gz-PUTit.
+
+## Yleiskuvaus
+
+Yksi apex-host, monta Gitea-repoa. URL = FS-polku: `/{owner}/{repo}/{branch}/{sha8}/{suite}/`.
+Ei Host-header-kikkaa, ei slugia, ei rewritea.
+
+## Komponentit
+
+| Komponentti | Rooli |
+|-------------|-------|
+| **nginx** | Palvelee staattisia tiedostoja /app/data -rootista (:8080) |
+| **upload** (Python HTTP server) | Vastaanottaa PUT /path + tar.gz body, purkaa PV:lle (:8081) |
+| **PVC** | Raporttisisältö suoraan FS-muodossa |
+| **Service** | ClusterIP :8080 (read), :8081 (write) |
+| **Traefik IngressRoute** | PATCH/PUT → upload:8081 (BasicAuth), GET/HEAD → nginx:8080 |
+| **Traefik Middleware** | `git-pages-publish-auth` (BasicAuth), HTTPS-redirect |
+| **cert-manager Certificate** | TLS |
+
+## URL ja sisältö
+
+```
+https://ci-reports.helm-dev.keskikuja.site/niko/gitea-ci-library/main/f4baa286/cucumber/index.html
+         └── selvä URL ──┘ └─────────── Gitea-yhteensopiva polku ──────────────────────────┘
+```
+
+Levyllä:
+```
+/app/data/{owner}/{repo}/{branch}/{sha8}/
+  .meta
+  index.html
+  ...
+```
+
+## Järjestelmäkaavio
+
+```mermaid
+flowchart TB
+    subgraph ext["Ulkoiset"]
+        PUB["Julkaisija\n(CI)"]
+        BR["Selain"]
+        GITEA["Gitea API\n(branch-lista)"]
+    end
+
+    subgraph edge["Reuna"]
+        TRAEFIK["Traefik\nIngressRoute + Middleware"]
+        CM["cert-manager\nTLS"]
+    end
+
+    subgraph cluster["Pod"]
+        NGINX["nginx\n(kontti)"]
+        UPLOAD["upload sidecar\n(Python HTTP server)"]
+        PVC["PVC /app/data"]
+    end
+
+    PUB -->|"PUT + BasicAuth\ntar.gz"| TRAEFIK
+    BR -->|"GET/HEAD"| TRAEFIK
+    TRAEFIK -->|"PUT/PATCH"| UPLOAD
+    TRAEFIK -->|"GET/HEAD"| NGINX
+    CM --> TRAEFIK
+    UPLOAD -->|"extract to PV"| PVC
+    NGINX --> PVC
+```
+
+## Julkaisu
+
+1. Julkaisija paketoi tiedostot tar.gz:ksi
+2. `PUT https://{host}/{owner}/{repo}/{branch}/{sha8}/{suite}/`
+3. Traefik tarkistaa BasicAuth → välittää upload-sidecarille
+4. CGI purkaa tar.gz:n suoraan PV:lle: `/app/data/{owner}/{repo}/{branch}/{sha8}/{suite}/`
+
+## Luku
+
+1. Selain avaa URL:n (GET/HEAD)
+2. Traefik välittää nginxille
+3. Nginx palauttaa suoraan PV:ltä
+
+## Retention
+
+CronJob lukee PV:tä suoraan (find, ls, stat), tarkistaa branchin olemassaolon Giteasta, poistaa vanhat commit-kansiot.

gitea-reports/docs/design-rationale.md

@@ -0,0 +1,198 @@
+# Design Rationale — git-pages
+
+> Miksi git-pages on rakennettu näin. Arvot, periaatteet ja reunaehdot.
+>
+> Tämä dokumentti on **normatiivinen** `git-pages/`-alikansiolle. Se ei kuvaa juuren
+> `gitea-ci-library`-kirjastoa eikä sen workfloweja.
+>
+> Liittyvät dokumentit: [architecture.md](architecture.md), [tech-stack.md](tech-stack.md), [secrets.md](secrets.md).
+
+---
+
+## Miksi tämä on olemassa
+
+### Ongelma
+
+CI-testiajoista syntyy HTML-raportteja. Esimerkiksi Cucumber-testiraportti toimii
+elävänä dokumentaationa git commitin tilasta.
+
+Gitea ei tarjoa web-selaimella selattavaa arkistoa näille HTML-raporteille.
+
+git-pages ratkaisee tämän ongelman.
+
+| Vaihtoehto | Miksi ei riitä |
+|---|---|
+| **Gitea Actions -artifactit** | Vain ZIP-lataus — HTML ei renderöidy selaimessa |
+| **Gitea `pages`-branch** | Yksi branch per repo; rinnakkaiset buildit törmäävät saman branchin pushissa |
+| **Gitea Releases** | Sotkee julkaisuhistorian satojen CI-buildien raporteilla |
+
+### Ongelma URL:ssa (hylätty malli)
+
+Alkuvaiheen malli sitoi hostin repoon: `https://{owner}.{host}/{repo}/...`
+(subdomain per owner). Julkinen linkki piti sitten “kääntää” Gitea-tyyliseksi poluksi
+Traefik-rewritellä (`/{owner}/{repo}/...` → eri `Host` + lyhyempi polku).
+
+Tämä oli ongelmallinen:
+
+- per-owner middleware / rewrite kube-resursseina
+- julkaisu-URL ja lukemis-URL eri muodossa
+- wildcard-TLS tai monimutkainen cert-hallinta
+- vaikea selittää kehittäjälle mistä host tulee
+
+### Ratkaisu — `selvä_url` + Gitea-yhteensopiva polku
+
+URL rakennetaan kahdesta erillisestä osasta, ei yhdestä sekavasta kaavasta:
+
+| Osa | Mistä | Esimerkki |
+|-----|-------|-----------|
+| **Selvä URL** | Organisaation kiinteä pages-host | `https://pages.example.com` |
+| **Gitea-yhteensopiva polku** | Repo (`{owner}/{repo}`) + commit | `/acme-corp/backend-api/reports/abc12345/index.html` |
+
+**Julkinen linkki** = selvä URL + polku (yksi merkkijono commit-statusiin, ei rewritea):
+
+`https://pages.example.com/acme-corp/backend-api/reports/abc12345/index.html`
+
+Polku vastaa Gitea Pages -käytäntöä (`/{owner}/{repo}/...`). Host on aina sama —
+ei `{owner}.pages...`-subdomainia.
+
+**Konkreettinen esimerkki (nykyinen ympäristö):**
+
+| Elementti | Arvo |
+|-----------|------|
+| **Gitea-instanssi** | `gitea.app.keskikuja.site` |
+| **Repo** | `niko/gitea-ci-library` |
+| **Haara** | `plan/0003-alkaa-käyttämään-itseään-commit-raportti` |
+| **Commit SHA** | `14cf2eaeed8a4033bc37c52b0b4c29f25b253ceb` |
+| **Raportin nimi** | `cucumber` (esim.) |
+| **Gitea commit -URL** | `https://gitea.app.keskikuja.site/niko/gitea-ci-library/commit/14cf2eaeed8a4033bc37c52b0b4c29f25b253ceb` |
+| **Raportin julkinen URL** | `https://ci-reports.helm-dev.keskikuja.site/niko/gitea-ci-library/commit/14cf2eaeed8a4033bc37c52b0b4c29f25b253ceb/cucumber/index.html` |
+
+Tämä varmistaa, että CI-statuslinkki on suoraan luettavissa ilman domain-rewriteä: raportin polku peilaa täsmälleen Gitean commit-polun rakennetta (`/{owner}/{repo}/commit/{sha}/{raportin-nimi}/`). Koska yksi ajo tuottaa useita raportteja, raportin nimi erottaa ne toisistaan.
+
+Julkaisija (CI tai muu asiakas) lähettää tar-arkiston PATCH/PUT:lla. Lukija hakee
+HTML:n GET:llä. Ei Gitea-git-integraatiota eikä `pages`-branchia.
+
+**Codebergin security-malli ei sovellu tähän käyttöön** — forge-auth (Gitea PAT +
+`write:repository`), DNS TXT -haaste ja muut git-pagesin sisäänrakennetut valtuutus-
+mekanismit on ohitettu kokonaan (`PAGES_INSECURE=1`). Niiden sijaan Kubernetes-kerros
+hoitaa rajauksen: Traefik BasicAuth julkaisuun, cert-manager TLS:ään, erillinen
+publish-token ([secrets.md](secrets.md)). Sovellus palvelee sisältöä; klusteri päättää
+kuka saa kirjoittaa.
+
+---
+
+## Suunnitteluperiaatteet
+
+### 1. Selvä URL + Gitea-yhteensopiva polku
+
+Julkinen osoite = kiinteä apex-host + polku `/{owner}/{repo}/reports/{sha8}/...`.
+Apex-juuri `/` on tyhjä tarkoituksella — ei landing-sivua.
+
+**Miksi:** Kehittäjä näkee Gitea-tyylisen polun; infra näkee yhden hostin. Ei Traefik-
+rewritea, ei per-owner subdomaineja, ei erillistä “julkaisu-URL vs. lukemis-URL” -kaavaa.
+Yksi TLS-sertifikaatti, yksi IngressRoute, yksi PVC.
+
+### 2. Sovelluksen sisäinen security kytketty pois, Traefik hoitaa rajauksen
+
+`git-pages`-sovelluksen koko sisäinen security-mekanismi on kytketty pois päältä (`PAGES_INSECURE=1`). Kirjoitusoikeuden validointi tapahtuu yksinomaan Kubernetes-reunalla Traefik BasicAuth -middlewaren avulla. Sovellus palvelee sisältöä sokeana; klusteri päättää, kuka saa kirjoittaa.
+
+### 3. Julkaisu ja luku erotettu
+
+Julkaisu (PATCH/PUT) vaatii Traefik BasicAuthin. Luku (GET/HEAD) on erillinen reitti — katso [Luku-auth](#luku-auth) alla.
+
+**Miksi:** Koska sovellus ei validoi julkaisuoikeuksia, kirjoitusoikeus on eksplisiittisesti eriytetty Traefik Middlewaressä (`git-pages-publish-auth`).
+
+### 4. Yksi publish-token, kaksi säilöä
+
+Sama plaintext-token: klusterin Secretissä htpasswd-hashina, julkaisijan secret-holvissa
+(esim. CI-alustan Actions-secret).
+
+**Miksi:** Ei Gitea PAT:ia eikä `write:repository` -oikeutta. Token antaa vain
+julkaisuoikeuden tähän palveluun. Yksi arvo, kaksi paikkaa — ks. [secrets.md](secrets.md).
+
+### 5. Secretit erillisessä hallinnassa
+
+`git-pages-publish-auth` luodaan ennen käyttöönottoa — ei osana sovelluksen konfiguraatiotiedostoja.
+
+**Miksi:** Salaisuudet eivät kulje versionoiduissa arvoissa. Rotaatio ja SealedSecrets
+pysyvät operaattorin hallussa. Ks. [secrets.md](secrets.md).
+
+### 6. Minimaalinen parametrisointi
+
+Instance-arvot (`host`, `issuer`, PVC) `{env}-values.yaml`:ssa. Resurssinimet,
+secret-nimet ja Traefik-wire kovakoodattu templatessa.
+
+**Miksi:** Parametrisoi vain se, mikä vaihtelee instanssien välillä (host, TLS-issuer,
+levy). Vakioidut nimet ja wire pysyvät ennustettavina kaikissa asennuksissa.
+
+---
+
+## Puutteet
+
+Tietoisesti avoimet asiat — eivät estä nykyistä julkaisu- ja lukumallia.
+
+### Luku-auth
+
+Julkaisu on suojattu (Traefik BasicAuth). **Luku ei ole:** GET/HEAD on julkinen — kuka
+tuntee URL:n voi lukea raportin.
+
+Tavoite: Traefik OIDC GET/HEAD-reitille (Gitea OAuth2 -provider). Session säilyy —
+commit-statuslinkki toimii kirjautumisen jälkeen ilman uutta julkaisuoikeutta.
+
+Ei toteutettu. Julkaisu- ja luku-reitit pysyvät erillisinä; OIDC lisätään vain lukupuolelle.
+
+### Retention
+
+Sidecar samassa podissa (HTTP localhost:3000), ajaa retention-cleanup.sh
+24h välein:
+
+| Sääntö | Konfiguroitavissa? | Kuvaus |
+|--------|-------------------|--------|
+| **Poistettu branch** | Ei — aina | Jos `.meta.branch` ei ole Giteassa enää, raportti poistetaan |
+| **maxAgeDays** | Kyllä (`dev-values`) | Aktiivisen branchin raportit vanhemmat kuin N päivää |
+| **keepMin** | Kyllä (`dev-values`) | Aktiivisella branchilla pidetään vähintään N uusinta |
+
+Poistettujen branchien siivous ei tarvitse parametreja. Jäljelle jääneille
+branchille säännöt tulevat `retention.rules` (`branches.default` +
+`branches.{name}`).
+
+Ei PVC-skaalausta — sidecar lukee manifestin HTTP:lla ja poistaa whiteout
+PATCHilla. Ei K8s API -oikeuksia.
+
+Secret: `git-pages-retention-gitea` — Gitea PAT branch-tarkistukseen.
+Ks. [secrets.md](secrets.md).
+
+---
+
+## Rajat
+
+- **Ei forge-integraatiota** — ei `pages`-branchia, ei Gitea API -hakua, ei forge-authia
+- **Ei julkaisijalogiikkaa** — kuka julkaisee ja milloin on julkaisijan vastuulla
+- **Ei sisäverkon ohitusjulkaisua** — julkaisu kulkee julkisen ingressin kautta (BasicAuth)
+
+---
+
+## Teknologiavalinnat
+
+| Valinta | Miksi |
+|---------|-------|
+| **Codeberg git-pages** `0.9.1` | Natiivi apex index-site + tar-pohjainen PATCH/PUT -julkaisu |
+| **Filesystem + PVC** | Yksinkertainen, yksi replica, ei erillistä objektivarastoa |
+| **Traefik IngressRoute + Middleware** | Julkaisuauth erillään sovelluksesta; GET/HEAD eri säännöllä |
+| **cert-manager** | TLS automaattisesti (`git-pages-tls`) |
+| **Helm v3** | Toistettava asennus; instanssikohtaiset arvot erillisessä values-tiedostossa |
+
+---
+
+## Mitä tietoisesti hylättiin
+
+| Hylätty | Syy |
+|---------|-----|
+| **deadnews/gitea-pages** | Vetää sisällön Gitea API:sta — ei sopinut CI-push-malliin |
+| **Gitea `pages`-branch** | Race condition rinnakkaisissa buildeissa |
+| **Per-owner subdomain** (`{owner}.pages...`) | Ongelmallinen URL; vaatii rewrite-middlewarea polun kääntämiseen |
+| **Traefik path→host -rewrite** | Korvattu apex + Gitea-polulla — yksi selvä URL commit-linkissä |
+| **Gitea forge-auth / PAT** | `write:repository` liian laaja oikeus vain raporttijulkaisuun |
+| **DNS TXT -haaste julkaisuun** | Operatiivinen kompleksisuus ilman hyötyä BasicAuthiin verrattuna |
+| **Helm-managed publish Secret** | Arvot values-tiedostoihin on kielletty; manuaalinen lähde totuudelle |
+| **Image tag `v0.9.1`** | Oikea tagi on `0.9.1` (ei `v`-etuliitettä) |

gitea-reports/docs/implementation-notes.md

@@ -0,0 +1,43 @@
+# Implementation Notes
+
+Teknisiä huomioita git-pages 0.9.1:n käyttäytymisestä, joita ei ole ilmeistä
+dokumentaatiosta.
+
+## Storage v2 (Protobuf manifest)
+
+Git-pages 0.9.1 käyttää v2-arkkitehtuuria. Kaikki sisältö on pakattu
+Protobuf-manifestiin (`site/{host}/.index`), ei flat-FS:nä. Tästä seuraa:
+
+- Tiedostoja ei voi etsiä tai poistaa `find`/`rm`-komennoilla
+- `.git-pages/manifest.json` listaa kaikki tiedostot (ProtoJSON)
+- `.git-pages/archive.tar` antaa koko sisällön (saattaa truncata HTTP/2:ssa)
+
+## Host-header
+
+Git-pages valitsee sivuston Host-headerin perusteella. Ilman oikeaa Hostia
+palauttaa 404.
+
+- Ulkoiset requestit: Traefik välittää alkuperäisen Hostin automaattisesti
+- Sidecar/localhost: `-H "Host: ci-reports.helm-dev.keskikuja.site"`
+
+## PATCH ja directory-entryt
+
+Jos PATCH-tar sisältää directory-entryn (tyyppi directory, tar typeflag '5'),
+se **korvaa** koko hakemiston dokumentaation mukaan. Tar saa sisältää vain
+file- ja symlink-entryjä, jotta PATCH toimii odotetusti.
+
+## Whiteout — tiedostojen poisto
+
+Ainoa tapa poistaa tiedostoja ilman koko sivuston PUT-korvausta:
+
+- Tarissa character device entry (`CHRTYPE`, tar typeflag '4')
+- `devmajor=0`, `devminor=0`
+- PATCH:ataan sivuston juureen
+
+## .init — ensimmäinen julkaisu
+
+Ensimmäinen julkaisu vaatii PUTin, joka luo `.index`-tiedoston. Tämän jälkeen
+PATCH riittää.
+
+Helm-chartin post-install -job hoitaa tämän automaattisesti:
+consumerien publish-scriptien ei tarvitse tuntea asennuksen tilaa.

gitea-reports/docs/secrets.md

@@ -0,0 +1,242 @@
+# Secrets — git-pages
+
+## Quick Start
+
+### Vaihe 1: Secret-arkkitehtuuri
+
+Järjestelmässä on kaksi loogista salaista arvoa. Publish-token jaetaan kahteen K8s-secretiin (Traefik-yhteensopivuus):
+
+| Looginen nimi | K8s | Gitea |
+|---|---|---|
+| `report_publish_api_token` (htpasswd) | `git-pages-publish-auth` (users) | - |
+| `report_publish_api_token` (plaintext) | `git-pages-publish-token` (token) | Actions Secret: `GIT_PAGES_PUBLISH_TOKEN` |
+| `reports_retention_read_token` | `git-pages-retention-gitea` (token) | PAT: `CI-REPORTS_READ_FOR_RETENTION` |
+
+**Huomio:** Publish-token jaetaan kahteen secretiin, koska Traefik BasicAuth middleware vaatii single-key secretin sekä on muodossa, missä sitä ei saa takaisin. Jokainen repo mikä raportteja käyttää, tarvitsee selväkielisen arvon, joka on "ylimääräisessä" secretissä. 
+
+### Vaihe 2: Luo Gitea PAT (retention)
+
+**Avaa Gitea browserissa:**
+
+1. Kirjaudu Gitea-käyttäjällä, jolla on luku kaikkiin raporttirepoihin
+2. **Settings** → **Applications** → **Generate New Token**
+3. Token name: `CI-REPORTS_READ_FOR_RETENTION`
+4. Scopes: valitse vain **`read:repository`**
+5. **Generate Token** → **kopioi token heti** (näytetään vain kerran)
+6. Tallenna token talteen (`GITEA_RETENTION_TOKEN`)
+
+### Vaihe 3: Generoi publish-token
+
+**Palaa terminaalille:**
+
+```bash
+GITEA_RETENTION_TOKEN="<from Gitea>"
+
+GIT_PAGES_PUBLISH_TOKEN="$(openssl rand -base64 24)"
+echo "Publish-token generoitu. Tallennetaan K8s-secretiin Vaiheessa 4."
+echo "$GIT_PAGES_PUBLISH_TOKEN"
+```
+
+### Vaihe 4: Luo K8s secrets
+
+```bash
+NS=gitea-reports
+
+# 1. Publish-auth: htpasswd (Traefik BasicAuth - vaatii single-key secretin)
+kubectl create secret generic git-pages-publish-auth \
+  --from-literal=users="$(docker run --rm httpd:2-alpine htpasswd -nb publish "$GIT_PAGES_PUBLISH_TOKEN")" \
+  -n "$NS"
+
+# 2. Publish-token: plaintext (luetaan README:stä Giteaan viedessä)
+kubectl create secret generic git-pages-publish-token \
+  --from-literal=token="$GIT_PAGES_PUBLISH_TOKEN" \
+  -n "$NS"
+
+# 3. Retention (käyttää Vaiheessa 2 luotua PAT:ia)
+kubectl create secret generic git-pages-retention-gitea \
+  --from-literal=token="$GITEA_RETENTION_TOKEN" \
+  -n "$NS"
+
+kubectl get secrets -n "$NS"
+```
+
+---
+
+### Seuraava: Helm-asennus
+
+Palaa takaisin [README.md](../README.md#käyttöönotto) ja jatka kohdasta "Instanssin values-tiedosto".
+
+---
+
+## Secret Arkkitehtuuri
+
+### Loogiset salaisuudet
+
+| Looginen nimi | K8s | Gitea |
+|---|---|---|
+| `report_publish_api_token` | `git-pages-publish-auth` (htpasswd) | Actions Secret: `GIT_PAGES_PUBLISH_TOKEN` |
+| `reports_retention_read_token` | `git-pages-retention-gitea` (token) | PAT: `CI-REPORTS_READ_FOR_RETENTION` |
+
+### Secret Reference Architecture
+
+```mermaid
+graph TD
+    subgraph "Publish Flow"
+        P1["Actions Secret<br/>GIT_PAGES_PUBLISH_TOKEN"]
+        P2["K8s Secret<br/>git-pages-publish-auth"]
+        P1 -->|token| TRAEFIK
+        P2 -->|htpasswd| TRAEFIK
+        TRAEFIK["Traefik BasicAuth"]
+    end
+
+    subgraph "Retention Flow"
+        R1["K8s Secret<br/>git-pages-retention-gitea"]
+        R2["Gitea PAT<br/>CI-REPORTS_READ_FOR_RETENTION"]
+        R1 -->|token| SC["Sidecar"]
+        SC -->|API auth| GITEA["Gitea API"]
+        SC -->|read branches| GITEA
+    end
+```
+
+---
+
+## Data Flow
+
+### Flow 1: Julkaisu (Publish)
+
+```mermaid
+sequenceDiagram
+    participant Actions as Gitea Actions
+    participant Traefik as Traefik
+    participant K8sAuth as K8s Secret<br/>git-pages-publish-auth
+    participant K8sToken as K8s Secret<br/>git-pages-publish-token
+    participant Upload as upload-sidecar
+    participant PV as PVC /app/data
+
+    Note over Actions: 1. Lue plaintext-token
+    Actions->>K8sToken: lue token-avain
+    K8sToken-->>Actions: plaintext token
+
+    Note over Actions: 2. Lähettää raportin
+    Actions->>Traefik: PUT /{polku} + BasicAuth<br/>publish:TOKEN + tar.gz
+    Traefik->>K8sAuth: lue users (htpasswd)
+    K8sAuth-->>Traefik: publish:$apr1$...
+    alt Token match
+        Traefik->>Upload: PUT /{path}
+        Upload->>PV: extract tar.gz
+        PV-->>Upload: 201 Created
+        Upload-->>Traefik: 201 Created
+        Traefik-->>Actions: 201 Created
+    else Token ei match
+        Traefik-->>Actions: 401 Unauthorized
+    end
+```
+
+**Kaksi secretiä (Traefik-yhteensopivuus):**
+- `git-pages-publish-auth` = `users` (htpasswd, Traefik käyttää)
+- `git-pages-publish-token` = `token` (plaintext, luetaan Giteaan viedessä)
+
+---
+
+### Flow 2: Luku (Read)
+
+```mermaid
+sequenceDiagram
+    participant Browser as Selain
+    participant Traefik as Traefik
+    participant Nginx as nginx
+    participant PV as PVC /app/data
+
+    Browser->>Traefik: GET /OWNER/REPO/branch/SHA/suite/index.html
+    Traefik->>Nginx: välitä (ei authia)
+    Nginx->>PV: lue tiedosto
+    PV-->>Nginx: HTML
+    Nginx-->>Traefik: HTML
+    Traefik-->>Browser: HTML
+```
+
+GET/HEAD-reitillä ei ole Middlewarea. Luku on julkinen, jos URL tunnetaan.
+
+---
+
+### Flow 3: Retention (Siivous)
+
+```mermaid
+sequenceDiagram
+    participant CronJob as Retention CronJob
+    participant K8sSecret as K8s Secret<br/>git-pages-retention-gitea
+    participant GiteaAPI as Gitea API
+    participant PV as PVC /app/data
+
+    Note over CronJob: 1. Lue PAT
+    CronJob->>K8sSecret: lue token
+    K8sSecret-->>CronJob: Gitea PAT
+
+    Note over CronJob: 2. Lue PV suoraan
+    CronJob->>PV: ls /app/data/{owner}/{repo}/{branch}/
+    PV-->>CronJob: commit-kansiot
+
+    Note over CronJob: 3. Kysy branch
+    CronJob->>GiteaAPI: GET /api/v1/repos/OWNER/REPO/branches/BRANCH
+    GiteaAPI-->>CronJob: 200 / 404
+
+    Note over CronJob: 4. Poista vanhat
+    CronJob->>PV: rm -rf vanhat commit-kansiot
+```
+
+**Huomio:** Retention-PAT:in omistajalla on oltava lukuoikeus KAIKKIIN repoihin,
+joista raportteja on PVC:llä.
+
+---
+
+## Troubleshooting
+
+- **"secret not found"** — luiko secretit ennen Helm-asennusta?
+- **"401 Unauthorized"** — onko Gitea Actions secret oikea?
+- **"found 2 elements for secret"** — Traefik vaatii single-key secretin. Varmista että `git-pages-publish-auth` sisältää vain `users`-avaimen.
+- **"token hukkuu"** — generoi uusi token (Vaihe 3) ja päivitä molemmat publish-secretit:
+  ```bash
+  # 1. Generoi uusi
+  GIT_PAGES_PUBLISH_TOKEN="$(openssl rand -base64 24)"
+
+  # 2. Päivitä K8s secrets (molemmat)
+  NS=gitea-reports
+  kubectl delete secret git-pages-publish-auth -n "$NS"
+  kubectl delete secret git-pages-publish-token -n "$NS"
+  
+  kubectl create secret generic git-pages-publish-auth \
+    --from-literal=users="$(docker run --rm httpd:2-alpine htpasswd -nb publish "$GIT_PAGES_PUBLISH_TOKEN")" \
+    -n "$NS"
+  
+  kubectl create secret generic git-pages-publish-token \
+    --from-literal=token="$GIT_PAGES_PUBLISH_TOKEN" \
+    -n "$NS"
+
+  # 3. Päivitä Gitea Actions secret jokaisessa repoissa (luke README:stä)
+  ```
+
+## Automatisointi: useamman repon salaisuuden lisääminen
+
+Jos repoja on monta, voit käyttää Gitea API:ta (vaatii admin-tokenin):
+
+```bash
+ADMIN_TOKEN="<gitea-admin-token>"
+NS=gitea-reports
+
+# Lue plaintext-token erillisestä secretistä
+TOKEN=$(kubectl get secret git-pages-publish-token -n "$NS" -o jsonpath='{.data.token}' | base64 -d)
+
+for repo in "owner/repo1" "owner/repo2" "owner/repo3"; do
+  curl -X POST "https://gitea.example.com/api/v1/repos/$repo/actions/secrets" \
+    -H "Authorization: token $ADMIN_TOKEN" \
+    -H "Content-Type: application/json" \
+    -d "{\"name\":\"GIT_PAGES_PUBLISH_TOKEN\",\"data\":\"$TOKEN\"}"
+done
+```
+
+Tai `tea` CLI:lla (Gitea:n virallinen CLI):
+
+```bash
+tea actions secrets add --repo owner/repo1 GIT_PAGES_PUBLISH_TOKEN "$TOKEN"
+tea actions secrets add --repo owner/repo2 GIT_PAGES_PUBLISH_TOKEN "$TOKEN"
+```

gitea-reports/docs/tech-stack.md

@@ -0,0 +1,81 @@
+# Tech Stack — git-pages
+
+> Mitä teknologioita `git-pages/` Helm chart käyttää ja edellyttää. Tämä dokumentti koskee vain
+> `git-pages/`-alikansiota monorepossa — ei juuren `gitea-ci-library`-kirjastoa.
+
+---
+
+## Sovellus
+
+| Teknologia | Versio | Käyttö |
+|---|---|---|
+| **git-pages** (Codeberg) | `0.9.1` | Staattinen sisältö, apex index-site (`/.index`), HTTP PATCH/PUT -julkaisu |
+| **Filesystem storage** | — | Sisältö PVC:llä (`/app/data`) |
+| **TOML** | — | Sovellusconfig ConfigMapissa (`config.toml`) |
+
+Image: `codeberg.org/git-pages/git-pages:0.9.1` (ei `v`-etuliitettä tagissa).
+
+Chart ajaa `PAGES_INSECURE=1` — julkaisuvaltuutus Traefik Middlewaressä, ei forge-authia.
+
+---
+
+## Alusta ja verkko
+
+| Teknologia | Versio / minimi | Käyttö |
+|---|---|---|
+| **Kubernetes** | 1.24+ | Deployment, Service, PVC, Secret |
+| **Helm** | v3 | Chart asennus ja päivitys |
+| **Traefik** | CRD `traefik.io/v1alpha1` | IngressRoute, Middleware (`basicAuth`, HTTPS-redirect) |
+| **cert-manager** | — | TLS-sertifikaatti (`git-pages-tls`) |
+
+---
+
+## Pysyvyys
+
+| Teknologia | Käyttö |
+|---|---|
+| **PersistentVolumeClaim** | Raporttisisältö (`ReadWriteOnce`) |
+| **storageClass** | Instance-kohtainen (`dev-values.yaml`) |
+
+---
+
+## Esiehdot (klusteri)
+
+| Resurssi | Lähde | Dokumentti |
+|---|---|---|
+| `git-pages-publish-auth` | Manuaalinen Secret | [secrets.md](secrets.md) |
+| `git-pages-tls` | cert-manager Certificate | Automaattinen asennuksessa |
+| `ClusterIssuer` | Klusteri (esim. `letsencrypt-prod`) | `dev-values.yaml` |
+
+---
+
+## Asennustyökalut (operaattori)
+
+| Työkalu | Käyttö |
+|---|---|
+| **kubectl** | Secretin luonti |
+| **openssl** | Publish-tokenin generointi (`rand -base64 24`) |
+| **Docker** (`httpd:2-alpine`) | htpasswd-rivin generointi |
+
+---
+
+## Konfiguraatio
+
+| Tiedosto | Kerros | Sisältö |
+|---|---|---|
+| `values.yaml` | Chart-vakiot | Image, resurssit, Traefik entrypointit |
+| `{env}-values.yaml` | Instanssi | Host, issuer, PVC koko/storageClass |
+
+Esimerkki: `helm upgrade --install gitea-reports ./gitea-reports -n gitea-reports -f dev-values.yaml`
+
+---
+
+## Mitä EI käytetä
+
+| Teknologia | Syy |
+|---|---|
+| **Gitea `pages`-branch** | Ei Gitea git-pages -integraatiota |
+| **deadnews/gitea-pages** | Ei Gitea API -hakua |
+| **MinIO / S3** | Erillinen raporttivarasto — ei tämän chartin scope |
+| **Gitea forge-auth / PAT** | Julkaisu BasicAuth-tokenilla (`git-pages-publish-auth`) |
+| **Helm-managed publish Secret** | `publishAuth.create: false` — secret manuaalisesti |

gitea-reports/files/retention-cleanup.sh

@@ -0,0 +1,66 @@
+#!/usr/bin/env bash
+# Retention cleanup: read PV directly, no git-pages API.
+# Removes old commit-level report dirs based on branch existence + age rules.
+set -euo pipefail
+
+DATA_ROOT="${DATA_ROOT:-/app/data}"
+CONFIG="${RETENTION_CONFIG:-/etc/retention/retention.json}"
+GITEA_API_URL="${GITEA_API_URL:-}"
+GITEA_TOKEN="${GITEA_TOKEN:-}"
+
+[ -f "$CONFIG" ] || { echo "ERROR: config missing: $CONFIG" >&2; exit 1; }
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+source "$SCRIPT_DIR/retention-lib.sh"
+
+DELETED_COUNT=0
+ERROR_COUNT=0
+
+for owner_dir in "$DATA_ROOT"/*/; do
+  [ -d "$owner_dir" ] || continue
+  owner=$(basename "$owner_dir")
+
+  for repo_dir in "$owner_dir"*/; do
+    [ -d "$repo_dir" ] || continue
+    repo=$(basename "$repo_dir")
+
+    for branch_dir in "$repo_dir"*/; do
+      [ -d "$branch_dir" ] || continue
+      branch=$(basename "$branch_dir")
+
+      echo "=== ${owner}/${repo}/${branch} ==="
+
+      if ! branch_exists "$owner" "$repo" "$branch"; then
+        echo "  Branch does not exist in Gitea -> DELETE ALL"
+        rm -rf "$branch_dir"
+        DELETED_COUNT=$((DELETED_COUNT + 1))
+        continue
+      fi
+
+      rules=$(jq -r ".branches.\"$branch\" // .branches.default" "$CONFIG")
+      keep_min=$(echo "$rules" | jq -r '.keepMin // 5')
+      min_age=$(echo "$rules" | jq -r '.minAgeDays // 7')
+
+      commits=$(ls -1t "$branch_dir" 2>/dev/null || true)
+      count=0
+      for sha8 in $commits; do
+        [ -d "$branch_dir/$sha8" ] || continue
+        count=$((count + 1))
+
+        [ "$count" -le "$keep_min" ] && continue
+
+        age=$(age_days_from_stat "$branch_dir/$sha8")
+        [ "$age" -lt "$min_age" ] && continue
+
+        echo "  DELETE: ${owner}/${repo}/${branch}/${sha8} (age=${age}d, keepMin=${keep_min})"
+        rm -rf "$branch_dir/$sha8"
+        DELETED_COUNT=$((DELETED_COUNT + 1))
+      done
+    done
+  done
+done
+
+echo ""
+echo "=== Summary ==="
+echo "  Deleted: ${DELETED_COUNT}"
+echo "  Errors:  ${ERROR_COUNT}"

gitea-reports/files/retention-lib.sh

@@ -0,0 +1,32 @@
+#!/usr/bin/env bash
+# Shared functions for retention-cleanup.sh
+# Can be sourced by tests for unit testing
+
+age_days_from_stat() {
+  local dir="$1" epoch_dir now
+  epoch_dir=$(stat -c %Y "$dir" 2>/dev/null || stat -f %m "$dir" 2>/dev/null || echo 0)
+  [ "$epoch_dir" -eq 0 ] && echo 99999 && return
+  now=$(date +%s)
+  echo $(( (now - epoch_dir) / 86400 ))
+}
+
+read_rule() {
+  local config="$1" branch="$2" key="$3" default="$4"
+  v=$(jq -r --arg b "$branch" --arg k "$key" '.branches[$b][$k] // empty' "$config")
+  [ -n "$v" ] && echo "$v" || echo "$default"
+}
+
+branch_exists() {
+  local owner="$1" repo="$2" branch="$3"
+  local branch_urlenc code
+
+  [ -z "$GITEA_API_URL" ] && return 0
+  [ -z "$GITEA_TOKEN" ] && return 0
+
+  branch_urlenc=$(echo "$branch" | sed 's/\//%2F/g')
+  code=$(curl -s -o /dev/null -w "%{http_code}" \
+    -H "Authorization: token $GITEA_TOKEN" \
+    "$GITEA_API_URL/api/v1/repos/$owner/$repo/branches/$branch_urlenc" 2>/dev/null || echo "000")
+
+  [ "$code" = "200" ]
+}

gitea-reports/files/retention-run.sh

@@ -0,0 +1,6 @@
+#!/usr/bin/env bash
+# Run retention cleanup on PVC directly (no git-pages API).
+set -euo pipefail
+
+/scripts/retention-cleanup.sh
+echo "Retention job done."

gitea-reports/templates/NOTES.txt

@@ -0,0 +1,19 @@
+Nginx + upload-sidecar installed.
+
+See docs/secrets.md for secret prerequisites (K8s + Gitea Actions).
+
+Install:
+  helm upgrade --install git-pages ./git-pages -n {{ .Release.Namespace }} --create-namespace -f dev-values.yaml
+
+Host:     https://{{ .Values.ingress.host }}
+Reports:  https://{{ .Values.ingress.host }}/{owner}/{repo}/{branch}/{sha8}/{suite}/
+
+Publish (CI):
+  curl -X PUT \
+    -u publish:<token> \
+    -H "Content-Type: application/tar+gz" \
+    --data-binary @report.tar.gz \
+    https://{{ .Values.ingress.host }}/{owner}/{repo}/{branch}/{sha8}/{suite}/
+
+Upgrade:   helm upgrade {{ .Release.Name }} ./git-pages -n {{ .Release.Namespace }} -f dev-values.yaml
+Uninstall: helm uninstall {{ .Release.Name }} -n {{ .Release.Namespace }}

gitea-reports/templates/_helpers.tpl

@@ -0,0 +1,39 @@
+{{- define "git-pages.name" -}}
+{{- default .Chart.Name .Values.nameOverride | trunc 63 | trimSuffix "-" }}
+{{- end }}
+
+{{- define "git-pages.fullname" -}}
+{{- if .Values.fullnameOverride }}
+{{- .Values.fullnameOverride | trunc 63 | trimSuffix "-" }}
+{{- else }}
+{{- $name := default .Chart.Name .Values.nameOverride }}
+{{- if contains $name .Release.Name }}
+{{- .Release.Name | trunc 63 | trimSuffix "-" }}
+{{- else }}
+{{- printf "%s-%s" .Release.Name $name | trunc 63 | trimSuffix "-" }}
+{{- end }}
+{{- end }}
+{{- end }}
+
+{{- define "git-pages.chart" -}}
+{{- printf "%s-%s" .Chart.Name .Chart.Version | replace "+" "_" | trunc 63 | trimSuffix "-" }}
+{{- end }}
+
+{{- define "git-pages.labels" -}}
+helm.sh/chart: {{ include "git-pages.chart" . }}
+{{ include "git-pages.selectorLabels" . }}
+{{- if .Chart.AppVersion }}
+app.kubernetes.io/version: {{ .Chart.AppVersion | quote }}
+{{- end }}
+app.kubernetes.io/managed-by: {{ .Release.Service }}
+{{- end }}
+
+{{- define "git-pages.selectorLabels" -}}
+app.kubernetes.io/name: {{ include "git-pages.name" . }}
+app.kubernetes.io/instance: {{ .Release.Name }}
+{{- end }}
+
+{{- define "git-pages.componentLabels" -}}
+{{ include "git-pages.labels" . }}
+app.kubernetes.io/component: pages-server
+{{- end }}

gitea-reports/templates/certificate.yaml

@@ -0,0 +1,15 @@
+{{- if and .Values.ingress.enabled .Values.certificate.enabled }}
+apiVersion: cert-manager.io/v1
+kind: Certificate
+metadata:
+  name: {{ include "git-pages.fullname" . }}-tls
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+spec:
+  secretName: git-pages-tls
+  dnsNames:
+    - {{ .Values.ingress.host | quote }}
+  issuerRef:
+    name: {{ .Values.certificate.issuerRef.name }}
+    kind: {{ .Values.certificate.issuerRef.kind }}
+{{- end }}

gitea-reports/templates/configmap.yaml

@@ -0,0 +1,42 @@
+apiVersion: v1
+kind: ConfigMap
+metadata:
+  name: {{ include "git-pages.fullname" . }}-config
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+data:
+  default.conf: |
+    client_max_body_size {{ .Values.nginx.bodySize }};
+
+    server {
+        listen {{ .Values.nginx.port }};
+        root /app/data;
+        autoindex on;
+        client_max_body_size {{ .Values.nginx.bodySize }};
+
+        location / {
+            try_files $uri $uri/ $uri/index.html =404;
+        }
+    }
+  upload-server.py: |
+    #!/usr/bin/env python3
+    import http.server, os, sys, tarfile, io
+
+    PORT = int(os.environ.get("UPLOAD_PORT", "8081"))
+    DATA_ROOT = "/app/data"
+
+    class Handler(http.server.BaseHTTPRequestHandler):
+        def do_PUT(self):
+            dest = DATA_ROOT + self.path.rstrip("/")
+            os.makedirs(dest, exist_ok=True)
+            length = int(self.headers.get("Content-Length", 0))
+            body = self.rfile.read(length)
+            with tarfile.open(fileobj=io.BytesIO(body), mode="r:gz") as tar:
+                tar.extractall(dest)
+            self.send_response(201)
+            self.end_headers()
+
+        def log_message(self, fmt, *args):
+            sys.stderr.write("%s - %s\n" % (self.client_address[0], fmt % args))
+
+    http.server.HTTPServer(("", PORT), Handler).serve_forever()

gitea-reports/templates/deployment.yaml

@@ -0,0 +1,75 @@
+apiVersion: apps/v1
+kind: Deployment
+metadata:
+  name: {{ include "git-pages.fullname" . }}
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+spec:
+  replicas: 1
+  selector:
+    matchLabels:
+      {{- include "git-pages.selectorLabels" . | nindent 6 }}
+  template:
+    metadata:
+      labels:
+        {{- include "git-pages.componentLabels" . | nindent 8 }}
+    spec:
+      securityContext:
+        fsGroup: 1000
+      containers:
+        - name: nginx
+          image: "{{ .Values.nginx.image }}:{{ .Values.nginx.tag }}"
+          imagePullPolicy: IfNotPresent
+          ports:
+            - name: http-read
+              containerPort: {{ .Values.nginx.port }}
+              protocol: TCP
+          volumeMounts:
+            - name: nginx-conf
+              mountPath: /etc/nginx/conf.d
+              readOnly: true
+            {{- if .Values.persistence.enabled }}
+            - name: data
+              mountPath: /app/data
+            {{- end }}
+          resources:
+            {{- toYaml .Values.nginx.resources | nindent 12 }}
+        - name: upload
+          image: "{{ .Values.upload.image }}:{{ .Values.upload.tag }}"
+          imagePullPolicy: IfNotPresent
+          command:
+            - python3
+            - /upload/upload-server.py
+          ports:
+            - name: http-write
+              containerPort: {{ .Values.upload.port }}
+              protocol: TCP
+          volumeMounts:
+            - name: upload-script
+              mountPath: /upload
+              readOnly: true
+            {{- if .Values.persistence.enabled }}
+            - name: data
+              mountPath: /app/data
+            {{- end }}
+          resources:
+            {{- toYaml .Values.upload.resources | nindent 12 }}
+      volumes:
+        - name: nginx-conf
+          configMap:
+            name: {{ include "git-pages.fullname" . }}-config
+            items:
+              - key: default.conf
+                path: default.conf
+        - name: upload-script
+          configMap:
+            name: {{ include "git-pages.fullname" . }}-config
+            defaultMode: 0755
+            items:
+              - key: upload-server.py
+                path: upload-server.py
+        {{- if .Values.persistence.enabled }}
+        - name: data
+          persistentVolumeClaim:
+            claimName: {{ include "git-pages.fullname" . }}-data
+        {{- end }}

gitea-reports/templates/ingressroute.yaml

@@ -0,0 +1,48 @@
+{{- if .Values.ingress.enabled }}
+apiVersion: traefik.io/v1alpha1
+kind: IngressRoute
+metadata:
+  name: {{ include "git-pages.fullname" . }}
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+spec:
+  entryPoints:
+    - {{ .Values.ingress.entryPoints.websecure }}
+  routes:
+    - match: >-
+        Host(`{{ .Values.ingress.host }}`) &&
+        (Method(`PATCH`) || Method(`PUT`))
+      kind: Rule
+      middlewares:
+        - name: {{ include "git-pages.fullname" . }}-publish-auth
+      services:
+        - name: {{ include "git-pages.fullname" . }}
+          port: {{ .Values.upload.port }}
+    - match: Host(`{{ .Values.ingress.host }}`) && (Method(`GET`) || Method(`HEAD`))
+      kind: Rule
+      services:
+        - name: {{ include "git-pages.fullname" . }}
+          port: {{ .Values.nginx.port }}
+  tls:
+    secretName: git-pages-tls
+---
+apiVersion: traefik.io/v1alpha1
+kind: IngressRoute
+metadata:
+  name: {{ include "git-pages.fullname" . }}-http
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+spec:
+  entryPoints:
+    - {{ .Values.ingress.entryPoints.web }}
+  routes:
+    - match: >-
+        Host(`{{ .Values.ingress.host }}`) &&
+        !PathPrefix(`/.well-known/acme-challenge/`)
+      kind: Rule
+      middlewares:
+        - name: {{ include "git-pages.fullname" . }}-https-redirect
+      services:
+        - name: {{ include "git-pages.fullname" . }}
+          port: {{ .Values.nginx.port }}
+{{- end }}

gitea-reports/templates/middleware.yaml

@@ -0,0 +1,22 @@
+{{- if .Values.ingress.enabled }}
+apiVersion: traefik.io/v1alpha1
+kind: Middleware
+metadata:
+  name: {{ include "git-pages.fullname" . }}-publish-auth
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+spec:
+  basicAuth:
+    secret: git-pages-publish-auth
+---
+apiVersion: traefik.io/v1alpha1
+kind: Middleware
+metadata:
+  name: {{ include "git-pages.fullname" . }}-https-redirect
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+spec:
+  redirectScheme:
+    scheme: https
+    permanent: true
+{{- end }}

gitea-reports/templates/publish-auth-secret.yaml

@@ -0,0 +1,12 @@
+{{- if and .Values.publishAuth.create .Values.publishAuth.htpasswdUsers }}
+apiVersion: v1
+kind: Secret
+metadata:
+  name: git-pages-publish-auth
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+type: Opaque
+stringData:
+  users: |
+    {{ .Values.publishAuth.htpasswdUsers }}
+{{- end }}

gitea-reports/templates/pvc.yaml

@@ -0,0 +1,17 @@
+{{- if .Values.persistence.enabled }}
+apiVersion: v1
+kind: PersistentVolumeClaim
+metadata:
+  name: {{ include "git-pages.fullname" . }}-data
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+spec:
+  accessModes:
+    - {{ .Values.persistence.accessMode }}
+  {{- if .Values.persistence.storageClass }}
+  storageClassName: {{ .Values.persistence.storageClass | quote }}
+  {{- end }}
+  resources:
+    requests:
+      storage: {{ .Values.persistence.size }}
+{{- end }}

gitea-reports/templates/retention-configmap.yaml

@@ -0,0 +1,17 @@
+{{- if and .Values.persistence.enabled .Values.retention.enabled }}
+apiVersion: v1
+kind: ConfigMap
+metadata:
+  name: git-pages-retention
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+data:
+  retention.json: |
+    {{- .Values.retention.rules | toJson | nindent 4 }}
+  retention-lib.sh: |
+    {{- .Files.Get "files/retention-lib.sh" | nindent 4 }}
+  retention-cleanup.sh: |
+    {{- .Files.Get "files/retention-cleanup.sh" | nindent 4 }}
+  retention-run.sh: |
+    {{- .Files.Get "files/retention-run.sh" | nindent 4 }}
+{{- end }}

gitea-reports/templates/retention-cronjob.yaml

@@ -0,0 +1,72 @@
+{{- if and .Values.persistence.enabled .Values.retention.enabled (eq .Values.retention.mode "cronjob") }}
+apiVersion: batch/v1
+kind: CronJob
+metadata:
+  name: git-pages-retention
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+spec:
+  schedule: {{ .Values.retention.schedule | quote }}
+  concurrencyPolicy: Forbid
+  successfulJobsHistoryLimit: 3
+  failedJobsHistoryLimit: 3
+  jobTemplate:
+    spec:
+      backoffLimit: 1
+      template:
+        metadata:
+          labels:
+            app.kubernetes.io/name: git-pages-retention
+            app.kubernetes.io/instance: {{ .Release.Name }}
+        spec:
+          serviceAccountName: git-pages-retention
+          restartPolicy: OnFailure
+          containers:
+            - name: retention
+              image: "{{ .Values.retention.image.repository }}:{{ .Values.retention.image.tag }}"
+              imagePullPolicy: {{ .Values.retention.image.pullPolicy }}
+              securityContext:
+                runAsUser: 0
+              command:
+                - bash
+                - -c
+                - |
+                  set -euo pipefail
+                  apt-get update -qq
+                  apt-get install -y --no-install-recommends curl jq >/dev/null
+                  chmod +x /scripts/retention-run.sh
+                  /scripts/retention-run.sh
+              env:
+                - name: DATA_ROOT
+                  value: /app/data
+                - name: RETENTION_CONFIG
+                  value: /etc/retention/retention.json
+                - name: GITEA_API_URL
+                  value: {{ required "retention.giteaApiUrl is required" .Values.retention.giteaApiUrl | quote }}
+                - name: GITEA_TOKEN
+                  valueFrom:
+                    secretKeyRef:
+                      name: git-pages-retention-gitea
+                      key: token
+              volumeMounts:
+                - name: data
+                  mountPath: /app/data
+                - name: scripts
+                  mountPath: /scripts
+                - name: config
+                  mountPath: /etc/retention
+          volumes:
+            - name: data
+              persistentVolumeClaim:
+                claimName: {{ include "git-pages.fullname" . }}-data
+            - name: scripts
+              configMap:
+                name: git-pages-retention
+                defaultMode: 0755
+            - name: config
+              configMap:
+                name: git-pages-retention
+                items:
+                  - key: retention.json
+                    path: retention.json
+{{- end }}

gitea-reports/templates/retention-rbac.yaml

@@ -0,0 +1,37 @@
+{{- if and .Values.persistence.enabled .Values.retention.enabled (eq .Values.retention.mode "cronjob") }}
+apiVersion: v1
+kind: ServiceAccount
+metadata:
+  name: git-pages-retention
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+---
+apiVersion: rbac.authorization.k8s.io/v1
+kind: Role
+metadata:
+  name: git-pages-retention
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+rules:
+  - apiGroups: ["apps"]
+    resources: ["deployments", "deployments/scale"]
+    verbs: ["get", "patch", "update"]
+  - apiGroups: [""]
+    resources: ["pods"]
+    verbs: ["get", "list", "watch", "delete"]
+---
+apiVersion: rbac.authorization.k8s.io/v1
+kind: RoleBinding
+metadata:
+  name: git-pages-retention
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+roleRef:
+  apiGroup: rbac.authorization.k8s.io
+  kind: Role
+  name: git-pages-retention
+subjects:
+  - kind: ServiceAccount
+    name: git-pages-retention
+    namespace: {{ .Release.Namespace }}
+{{- end }}

gitea-reports/templates/service.yaml

@@ -0,0 +1,19 @@
+apiVersion: v1
+kind: Service
+metadata:
+  name: {{ include "git-pages.fullname" . }}
+  labels:
+    {{- include "git-pages.componentLabels" . | nindent 4 }}
+spec:
+  type: {{ .Values.service.type }}
+  selector:
+    {{- include "git-pages.selectorLabels" . | nindent 4 }}
+  ports:
+    - name: http-read
+      port: {{ .Values.nginx.port }}
+      targetPort: http-read
+      protocol: TCP
+    - name: http-write
+      port: {{ .Values.upload.port }}
+      targetPort: http-write
+      protocol: TCP

gitea-reports/tests/retention.bats

@@ -0,0 +1,150 @@
+#!/usr/bin/env bats
+
+setup() {
+  source "$(dirname "$BATS_TEST_DIRNAME")/files/retention-lib.sh"
+  CONFIG=$(mktemp)
+}
+
+teardown() {
+  rm -f "$CONFIG"
+}
+
+write_config() {
+  cat > "$CONFIG"
+}
+
+# ---------------------------------------------------------------------------
+# read_rule
+# ---------------------------------------------------------------------------
+
+@test "read_rule returns default when branch has no override" {
+  write_config <<'EOF'
+{"branches":{"default":{"minAgeDays":90,"keepMin":5}}}
+EOF
+  result=$(read_rule "$CONFIG" "nonexistent" "minAgeDays" 90)
+  [ "$result" = "90" ]
+}
+
+@test "read_rule returns branch-specific value" {
+  write_config <<'EOF'
+{"branches":{"default":{"minAgeDays":90,"keepMin":5},"main":{"minAgeDays":365,"keepMin":20}}}
+EOF
+  result=$(read_rule "$CONFIG" "main" "keepMin" 5)
+  [ "$result" = "20" ]
+}
+
+@test "read_rule returns default for undefined key even if branch exists" {
+  write_config <<'EOF'
+{"branches":{"default":{"minAgeDays":90,"keepMin":5},"main":{"minAgeDays":365}}}
+EOF
+  result=$(read_rule "$CONFIG" "main" "keepMin" 5)
+  [ "$result" = "5" ]
+}
+
+# ---------------------------------------------------------------------------
+# age_days_from_stat
+# ---------------------------------------------------------------------------
+
+@test "age_days_from_stat returns 0 for newly created dir" {
+  local tmpdir=$(mktemp -d)
+  result=$(age_days_from_stat "$tmpdir")
+  [ "$result" -eq 0 ] || [ "$result" -eq 1 ]
+  rm -rf "$tmpdir"
+}
+
+@test "age_days_from_stat returns 99999 for nonexistent dir" {
+  result=$(age_days_from_stat "/nonexistent/path")
+  [ "$result" = "99999" ]
+}
+
+@test "age_days_from_stat returns positive for old dir" {
+  local tmpdir=$(mktemp -d)
+  # Touch mtime back 2 days
+  touch -t "$(date -v-2d +%Y%m%d%H%M.%S 2>/dev/null || date -d '2 days ago' +%Y%m%d%H%M.%S 2>/dev/null)" "$tmpdir" 2>/dev/null || true
+  result=$(age_days_from_stat "$tmpdir")
+  [ "$result" -ge 1 ]
+  rm -rf "$tmpdir"
+}
+
+# ---------------------------------------------------------------------------
+# branch_exists — edge cases (no mock needed)
+# ---------------------------------------------------------------------------
+
+@test "branch_exists: empty GITEA_API_URL → return 0 (skip)" {
+  GITEA_API_URL=""
+  GITEA_TOKEN="test-token"
+  run branch_exists "owner" "repo" "any-branch"
+  [ "$status" -eq 0 ]
+}
+
+@test "branch_exists: empty GITEA_TOKEN → return 0 (skip)" {
+  GITEA_API_URL="https://gitea.example.com"
+  GITEA_TOKEN=""
+  run branch_exists "owner" "repo" "any-branch"
+  [ "$status" -eq 0 ]
+}
+
+# ---------------------------------------------------------------------------
+# retention-cleanup integration — mock PV tree
+# ---------------------------------------------------------------------------
+
+@test "retention-cleanup: deletes only old commits beyond keepMin" {
+  local dataroot=$(mktemp -d)
+  local config=$(mktemp)
+
+  cat > "$config" <<'EOF'
+{"branches":{"default":{"minAgeDays":0,"keepMin":2}}}
+EOF
+
+  # Create mock PV: owner/repo/branch/{c1,c2,c3}
+  mkdir -p "$dataroot/owner/repo/main/c1/suite"
+  mkdir -p "$dataroot/owner/repo/main/c2/suite"
+  mkdir -p "$dataroot/owner/repo/main/c3/suite"
+
+  DATA_ROOT="$dataroot"
+  RETENTION_CONFIG="$config"
+  GITEA_API_URL=""
+  GITEA_TOKEN=""
+
+  # Run main loop (subset of retention-cleanup.sh logic)
+  for branch_dir in "$dataroot/owner/repo/main/"; do
+    branch=$(basename "$branch_dir")
+    rules=$(jq -r ".branches.\"$branch\" // .branches.default" "$config")
+    keep_min=$(echo "$rules" | jq -r '.keepMin // 5')
+    min_age=$(echo "$rules" | jq -r '.minAgeDays // 7')
+
+    commits=$(ls -1t "$branch_dir" 2>/dev/null || true)
+    count=0
+    for sha8 in $commits; do
+      [ -d "$branch_dir/$sha8" ] || continue
+      count=$((count + 1))
+      [ "$count" -le "$keep_min" ] && continue
+      age=$(age_days_from_stat "$branch_dir/$sha8")
+      [ "$age" -lt "$min_age" ] && continue
+      rm -rf "$branch_dir/$sha8"
+    done
+  done
+
+  # c1 (oldest, 3rd in ls -1t) should be deleted, c2 and c3 kept
+  [ -d "$dataroot/owner/repo/main/c2" ]
+  [ -d "$dataroot/owner/repo/main/c3" ]
+  [ ! -d "$dataroot/owner/repo/main/c1" ]
+
+  rm -rf "$dataroot" "$config"
+}
+
+@test "retention-cleanup: deletes entire branch dir when branch not in Gitea" {
+  local dataroot=$(mktemp -d)
+  mkdir -p "$dataroot/owner/repo/deleted-branch/c1/suite"
+  mkdir -p "$dataroot/owner/repo/active-branch/c2/suite"
+
+  DATA_ROOT="$dataroot"
+  RETENTION_CONFIG="/dev/null"
+  GITEA_API_URL=""
+  GITEA_TOKEN=""
+
+  # With empty GITEA_API_URL, branch_exists returns 0 → no deletion
+  # (can't mock Gitea 404 without external deps)
+
+  rm -rf "$dataroot"
+}

gitea-reports/values.yaml

@@ -0,0 +1,67 @@
+# Constants — shared across all instances. Do not put per-env values here.
+# Per instance: use {env}-values.yaml (e.g. dev-values.yaml):
+#   helm install gitea-reports ./gitea-reports -n gitea-reports -f dev-values.yaml
+
+nameOverride: ""
+fullnameOverride: ""
+
+nginx:
+  image: nginx
+  tag: alpine
+  port: 8080
+  bodySize: 100M
+  resources:
+    requests:
+      cpu: 10m
+      memory: 32Mi
+    limits:
+      cpu: 200m
+      memory: 128Mi
+
+upload:
+  image: python
+  tag: 3-alpine
+  port: 8081
+  resources:
+    requests:
+      cpu: 10m
+      memory: 16Mi
+    limits:
+      cpu: 100m
+      memory: 64Mi
+
+service:
+  type: ClusterIP
+
+persistence:
+  enabled: true
+  accessMode: ReadWriteOnce
+
+ingress:
+  enabled: true
+  entryPoints:
+    websecure: websecure
+    web: web
+
+certificate:
+  enabled: true
+
+# Optional Helm-managed secret — prefer manual create (see docs/secrets.md).
+publishAuth:
+  create: false
+  htpasswdUsers: ""
+
+retention:
+  enabled: false
+  mode: cronjob
+  schedule: "0 3 * * *"
+  image:
+    repository: debian
+    tag: bookworm-slim
+    pullPolicy: IfNotPresent
+  giteaApiUrl: ""
+  rules:
+    branches:
+      default:
+        minAgeDays: 7
+        keepMin: 5