From 2f51bb8d492090003febbdde92e5017363559e95 Mon Sep 17 00:00:00 2001
From: Hermes Agent <hermes@tower.local>
Date: Fri, 23 Oct 2026 10:24:12 -0400
Subject: [PATCH] chore(newt): 1.17.0 (unstable) pour le P2P

---
 services/newt/default.nix | 31 +++++++++++++++++++++++++++++++
 1 file changed, 31 insertions(+)

diff --git a/services/newt/default.nix b/services/newt/default.nix
index 86f08a7..9c67596 100644
--- a/services/newt/default.nix
+++ b/services/newt/default.nix
@@ -2,6 +2,7 @@
   config,
   pkgs,
   lib,
+  inputs,
   ...
 }: {
   sops.secrets.newt_env = {
@@ -11,6 +12,14 @@
 
   services.newt = {
     enable = true;
+
+    # newt 1.17 (input unstable) rapporte les endpoints locaux au serveur
+    # (détection "same network" de Pangolin 1.21 : un client du même LAN
+    # passe en direct) et accepte les clients WireGuard par défaut
+    # (l'ancien flag --accept-clients n'existe plus ; --disable-clients
+    # permet de refuser). Le pin 26.05 (newt 1.12.4) ne sait pas faire ça.
+    package = inputs.unstable.legacyPackages.${pkgs.stdenv.hostPlatform.system}.fosrl-newt;
+
     environmentFile = config.sops.secrets.newt_env.path;
 
     # Ressource publique Winnie : front Svelte 5 (build statique servi par
@@ -31,6 +40,28 @@
       ];
     };
 
+    # Serveur de dev Vite de l'app (port 8080) : c'est l'URL que charge l'APK
+    # debug (`tauri android dev`) et le navigateur du telephone pour le live
+    # reload. La ressource prod `winnie.marcpartensky.com` reste sur 8888
+    # (dist statique) : ici le port est celui du dev server, donc le domaine
+    # repond 502 quand `npm run dev` n'est pas lance.
+    # SSO desactive : le WebView Tauri devrait suivre une redirection de login.
+    # Le dev server refuse deja /@fs/ sur .keys/ (clé de signature APK), voir
+    # app/vite.config.ts.
+    blueprint.proxy-resources.winnie-dev = {
+      name = "winnie-dev";
+      protocol = "http";
+      full-domain = "dev.winnie.marcpartensky.com";
+      auth.sso-enabled = false;
+      targets = [
+        {
+          hostname = "127.0.0.1";
+          port = 8080;
+          method = "http";
+        }
+      ];
+    };
+
     # Ressource publique Pangolin : le client noVNC de tower (wayvnc + websockify,
     # cf. modules/home/wayvnc). HTTP + SSO, donc aucune contrainte de version de
     # newt (le mode VNC natif de Pangolin exigerait newt > 1.13, et tower est en