Variables d'environnement

Liste exhaustive des variables d’environnement reconnues par arka-deck. Source de vérité : .env.example à la racine et la lecture effective au boot.

Serveur web

Variable	Défaut	Description
`ARKA_DECK_WEB_PORT`	`3117`	Port HTTP du serveur
`ARKA_DECK_WEB_HOST`	`127.0.0.1` (ou `0.0.0.0` si `--lan`)	Adresse de bind
`ARKA_DECK_WEB_LAN`	`0`	Active le mode LAN si `1`, `true` ou `yes` (priorité 2, cf. CLI)
`ARKA_DECK_LOG`	`info`	Niveau de log Fastify (`fatal`/`error`/`warn`/`info`/`debug`/`trace`/`silent`)
`ARKA_DECK_RATE_LIMIT_MAX`	`300`	Plafond rate limit / minute

Storage et home

Variable	Défaut	Description
`ARKA_DECK_HOME`	`~/.arka-deck/`	Override du dossier global utilisateur

Cortex (catalogue + MCP)

Variable	Défaut	Description
`ARKA_DECK_CORTEX_URL`	`https://public.arkalabs.app`	Endpoint Cortex pour le catalogue (lecture seule)
`ARKA_DECK_CORTEX_MCP_URL`	`https://mcp.public.arkalabs.app`	Endpoint MCP Cortex pour les agents
`ARKA_DECK_CORTEX_RUNTIME_URL`	(non défini, fallback loopback)	Endpoint runtime Cortex dédié
`CORTEX_LITE_URL`	(non défini, fallback loopback)	Endpoint Cortex Lite local — legacy

Politique anti-SSRF

Par défaut, les overrides ARKA_DECK_CORTEX_URL, ARKA_DECK_CORTEX_MCP_URL et ARKA_DECK_CORTEX_RUNTIME_URL n’acceptent que :

Le loopback (127.0.0.1, localhost) — pour Cortex Lite local
Les hosts HTTPS sur *.arkalabs.app

Tout autre host est refusé. Pour passer outre en développement :

ARKA_DECK_CORTEX_ALLOW_UNSAFE_URL=1

Cette variable ne doit jamais être positionnée en production.

Voir ADR 0006.

Connecteurs externes

Variable	Description
`ARKA_DECK_NOTION_OAUTH_CLIENT_ID`	OAuth client ID Notion (intégration first-party)
`ARKA_DECK_NOTION_OAUTH_CLIENT_SECRET`	OAuth client secret Notion

Les variables OAuth sont nécessaires uniquement si vous utilisez le flux OAuth Notion (pas si vous utilisez un token d’intégration interne).

Tests E2E

Variable	Description
`PLAYWRIGHT_BASE_URL`	URL de base pour les tests Playwright (défaut `http://127.0.0.1:3117`)

Bonnes pratiques

Mettre les overrides dans .env.local (jamais dans .env versionné).
Ne jamais commiter de clé API.
Pour des secrets persistents, utiliser l’UI Paramètres → Providers plutôt qu’une variable d’environnement (chiffrement AES-256-GCM).
Vérifier .env.example à la racine pour la liste maintenue à jour.

Voir aussi

CLI : ./cli
Posture sécurité (Produit) : ../../produit/07-securite-et-donnees
Politique URL runtime : ADR 0006