# Hado: публичные пути (клиенты по токену, агент по MCP-токену, кнопки из каналов, Telegram)
# идут мимо SSO, всё остальное — через forward_auth хаба. Порядок матчеров важен.
# hado живёт на этой же машине, порт опубликован только на loopback (как fumi).
hado.{$DOMAIN} {
	@public path /api/* /a/* /hooks/* /mcp /up
	handle @public {
		reverse_proxy 127.0.0.1:8091
	}
	handle {
		import protected
		reverse_proxy 127.0.0.1:8091
	}
}