# Hado: публичные пути (клиенты по токену, кнопки из каналов, Telegram) идут мимо SSO,
# всё остальное — через forward_auth хаба. Порядок матчеров важен.
hado.{$DOMAIN} {
	@public path /api/* /a/* /hooks/* /up
	handle @public {
		reverse_proxy <hado-wireguard-ip>:8080
	}
	handle {
		import protected
		reverse_proxy <hado-wireguard-ip>:8080
	}
}