fix(arr): supprime urlbase et coupe l'auth interne derriere le SSO Pangolin

- urlbase = "localhost" (recopie de l'exemple du module nixpkgs) faisait rediriger en 307 TOUT chemin hors base, /api/v3/... compris : les clients API locaux recevaient la page de login. Radarr, Sonarr et Readarr sont servis a la racine du domaine
- settings.auth.method = "External" : l'auth de l'appli ne filtre rien derriere le tunnel newt (les requetes distantes arrivent de 127.0.0.1, donc vues comme locales) et la porte reste le SSO Pangolin. Ni Radarr 6.x ni Sonarr 4.x n'ont d'OIDC natif (arrive dans Sonarr 5)

services/radarr/default.nix

@@ -27,10 +27,27 @@
 
     settings = {
       server = {
-        urlbase = "localhost";
+        # PAS de urlbase : Radarr est servi à la racine du domaine. L'exemple du
+        # module nixpkgs (urlbase = "localhost") a été recopié ici un temps, et
+        # avec une valeur non vide, UrlBaseMiddleware renvoie un 307 vers
+        # /<base><chemin> sur TOUTE requête hors base : le local /login
+        # redirigeait vers /localhost/login, et un client API tapant
+        # /api/v3/... recevait un 307 vers /localhost/api/v3/... (un navigateur
+        # suit, curl/arr-mcp non).
         port = 8086;
         bindaddress = "*";
       };
+
+      # Authentification de l'appli DESACTIVEE (méthode prévue pour un reverse
+      # proxy qui authentifie en amont). Radarr 6.x n'a AUCUN support OIDC
+      # (AuthenticationType = None/Basic/Forms/External seulement, cf. wiki
+      # Servarr « OIDC NOT currently supported »), donc derrière le SSO Pangolin
+      # la seule alternative était un second login dans Radarr.
+      # Contrepartie assumée : tout ce qui joint 127.0.0.1:8086 depuis tower
+      # (n'importe quel process local) ouvre l'UI sans mot de passe ; la clé
+      # API reste exigée sur /api/v3 et la porte internet reste le SSO Pangolin
+      # (le port n'est pas ouvert au firewall).
+      auth.method = "External";
     };
   };
 

services/readarr/default.nix

@@ -16,7 +16,8 @@
     settings = {
       # update.mechanism = "internal";
       server = {
-        urlbase = "localhost";
+        # Pas de urlbase (voir services/radarr) : une base non vide fait
+        # rediriger en 307 tout chemin hors base, /api/v3/... compris.
         port = 8088;
         bindaddress = "*";
       };

services/sonarr/default.nix

@@ -20,10 +20,22 @@
     dataDir = "/home/marc/sonarr";
     settings = {
       server = {
-        urlbase = "localhost";
+        # Pas de urlbase (voir services/radarr) : avec une base non vide,
+        # UrlBaseMiddleware redirige en 307 tout chemin hors base, y compris
+        # /api/v3/..., ce qui casse les clients API locaux.
         port = 8006;
         bindaddress = "*";
       };
+
+      # Auth de l'appli DESACTIVEE, comme radarr : la porte est le SSO Pangolin
+      # (sonarr.marcpartensky.com ci-dessous). Sonarr 4.0.19 gere bien
+      # `External` (cf. AddExternal -> NoAuthenticationHandler) même si son
+      # config.xml portait encore `None` : le declaratif evite qu'un passage
+      # dans l'UI reactive un formulaire de login en plus du SSO.
+      # OIDC natif dans l'appli : absent de Sonarr 4.x (et de Radarr 6.x). Il
+      # arrive dans Sonarr 5 (branche develop : AddOidc + AuthOptions.Oidc*),
+      # a rebrancher sur Zitadel quand nixpkgs passera a cette version.
+      auth.method = "External";
     };
   };
 
@@ -41,7 +53,7 @@
   # Migration en une fois : Sonarr était configuré dans /home/marc/radarr (qui
   # contient AUSSI radarr.db, reste d'un ancien Radarr, laissé en place). On ne
   # copie que les données de Sonarr, pas config.xml : il est régénéré depuis les
-  # réglages Nix ci-dessus (port 8006, urlbase localhost), alors que celui du
+  # réglages Nix ci-dessus (port 8006, aucune urlbase), alors que celui du
   # dossier partagé portait la config du dernier service qui l'avait écrit.
   systemd.services.sonarr-data-migrate = {
     description = "Migration du dossier de données de Sonarr (~/radarr -> ~/sonarr)";