feat(deploy): support running behind existing host reverse proxy (nginx)

The VPS already runs nginx+certbot on 80/443 for other apps, so bundled Caddy would collide. Make Caddy opt-in via a compose profile (WITH_CADDY=1); default deploy now runs only the app on 127.0.0.1:8080. Add an SSE-friendly nginx vhost (deploy/nginx/arbpulse.wayool.com.conf) and document the nginx+certbot integration path.

Co-authored-by: Cursor <cursoragent@cursor.com>

deploy/README.md

@@ -1,80 +1,89 @@
 # Deploy en VPS (Hetzner) — Arb Pulse
 
-Despliegue con Docker Compose: el contenedor `app` (Node + tsx) detrás de
-`caddy`, que emite HTTPS automáticamente (Let's Encrypt). Pensado para correr
-24/7 desde la rama `main`.
+Despliegue con Docker Compose para correr 24/7 desde la rama `main`. El contenedor
+`app` (Node + tsx) queda en `127.0.0.1:8080` y un **reverse proxy del host** expone
+HTTPS. Dos modos:
+
+- **Opción A — detrás de nginx existente (recomendado en este VPS).** El servidor ya
+  corre nginx en 80/443 con certbot para otras apps (p. ej. `consumet.wayool.com`,
+  `openclaw.wayool.com`). Se agrega un vhost para `arbpulse.wayool.com` y punto.
+- **Opción B — Caddy bundleado.** Solo para un server **fresco** sin nada en 80/443.
 
 ## Prerrequisitos
 
 1. VPS Ubuntu/Debian (recomendado 2 vCPU / 2 GB RAM — p. ej. Hetzner CX22).
-2. Subdominio en Cloudflare (zona `wayool.com`): `arbpulse.wayool.com` con un
-   registro **A → IP del VPS**. Ver "DNS en Cloudflare" abajo.
-3. Puertos abiertos:
-   ```bash
-   sudo ufw allow 22 && sudo ufw allow 80 && sudo ufw allow 443 && sudo ufw --force enable
-   ```
+2. Subdominio `arbpulse.wayool.com` con registro **A → IP del VPS** (ya creado en
+   Cloudflare, ver abajo).
+3. Docker + plugin compose (el `deploy.sh` los instala si faltan).
 
 ## DNS en Cloudflare (zona wayool.com)
 
-El dominio `wayool.com` está gestionado por Cloudflare. La app se sirve en el
-subdominio **`arbpulse.wayool.com`**.
+- Registro **A**, nombre `arbpulse`, contenido = IP del VPS, **"DNS only" (nube gris)**.
+  - Motivo: certbot/Caddy emiten el cert vía HTTP-01 (reto directo al origen) y el
+    SSE de `/api/stream` fluye sin buffering del proxy de Cloudflare.
+- Verificar: `dig +short arbpulse.wayool.com` debe devolver la IP del VPS.
 
-- Registro: **A**, nombre `arbpulse`, contenido = IP pública del VPS.
-- **Proxy: "DNS only" (nube gris), NO proxied (nube naranja).**
-  - Motivo: Caddy emite el cert Let's Encrypt vía HTTP-01 (requiere que el reto en
-    el puerto 80 llegue directo al origen), y el stream SSE de `/api/stream` fluye
-    sin el buffering/timeout del proxy de Cloudflare.
-  - Si más adelante querés proxear con Cloudflare (naranja) para ocultar la IP,
-    hay que cambiar Caddy a challenge DNS-01 (plugin `caddy-dns/cloudflare` + token
-    de API) y poner SSL/TLS en "Full (strict)". No es necesario para arrancar.
-- Verificar propagación: `dig +short arbpulse.wayool.com` debe devolver la IP del
-  VPS antes de que Caddy pida el certificado.
+---
 
-## Deploy (para el agente del VPS)
+## Opción A — detrás del nginx existente (recomendado)
 
-Todo lo hace el script idempotente `deploy.sh` (instala Docker si falta, clona o
-actualiza el repo, y levanta los contenedores). Es seguro re-ejecutarlo.
+No toca tus otras apps ni Caddy. Solo levanta el contenedor `app` en loopback y le
+pone un vhost de nginx con certbot (mismo patrón que consumet/openclaw).
 
 ```bash
-# 1) Traer el script y ejecutarlo (primera vez: crea .env y se detiene)
+# 1) Traer y correr el script (1ra vez: crea .env y se detiene). App-only por default.
 curl -fsSL https://raw.githubusercontent.com/mauricioabh/arbpulse/main/deploy/deploy.sh -o /tmp/arbpulse-deploy.sh
 bash /tmp/arbpulse-deploy.sh
 
-# 2) Editar el .env con el dominio y secretos
-nano /opt/arbpulse/deploy/.env      # DOMAIN=... ; SENTRY_DSN=... (opcional) ; UPSTASH_* (opcional)
+# 2) Editar el .env (DOMAIN + secretos opcionales)
+nano /opt/arbpulse/deploy/.env       # DOMAIN=arbpulse.wayool.com ; SENTRY_TRACING=false ; ...
 
-# 3) Volver a ejecutar para construir y arrancar
+# 3) Volver a correr: build + up del contenedor app (127.0.0.1:8080)
 bash /tmp/arbpulse-deploy.sh
+
+# 4) Instalar el vhost de nginx y emitir el cert
+sudo cp /opt/arbpulse/deploy/nginx/arbpulse.wayool.com.conf /etc/nginx/sites-available/arbpulse.wayool.com
+sudo ln -s /etc/nginx/sites-available/arbpulse.wayool.com /etc/nginx/sites-enabled/
+sudo nginx -t && sudo systemctl reload nginx
+sudo certbot --nginx -d arbpulse.wayool.com
 ```
 
-Alternativa (si ya está clonado el repo en `/opt/arbpulse`):
+El vhost (`deploy/nginx/arbpulse.wayool.com.conf`) trae `proxy_buffering off` y
+timeouts largos para que el SSE funcione. certbot copia el bloque `location` al
+server TLS que genera, así que los ajustes SSE se mantienen en HTTPS.
+
+## Opción B — Caddy bundleado (server fresco, sin nginx)
+
+Solo si nada más usa 80/443:
 
 ```bash
 cd /opt/arbpulse/deploy
-cp .env.vps.example .env && nano .env      # solo la primera vez
-docker compose up -d --build
+cp .env.vps.example .env && nano .env          # DOMAIN=arbpulse.wayool.com ...
+WITH_CADDY=1 bash /tmp/arbpulse-deploy.sh       # o: docker compose --profile caddy up -d --build
 ```
 
+---
+
 ## Verificar
 
 ```bash
-docker compose -f /opt/arbpulse/deploy/docker-compose.yml ps
-curl -s http://127.0.0.1:8080/api/health          # local
-curl -s https://TU_DOMINIO/api/health             # público (tras propagar DNS)
+docker compose -f /opt/arbpulse/deploy/docker-compose.yml ps   # app healthy/running
+curl -s http://127.0.0.1:8080/api/health                        # local
+curl -s https://arbpulse.wayool.com/api/health                  # público (HTTPS)
 ```
 
-Dashboard: `https://TU_DOMINIO` → badge **LIVE** y los 4 exchanges en la matriz.
+Dashboard: `https://arbpulse.wayool.com` → badge **LIVE** y los 4 exchanges.
 
 ## Variables de entorno
 
 Ver `.env.vps.example`. Claves:
 
-- `DOMAIN` — dominio para Caddy/HTTPS (obligatorio).
+- `DOMAIN` — `arbpulse.wayool.com` (usado por Caddy en Opción B; informativo en A).
 - `SENTRY_DSN` — opcional; activa error monitoring.
-- `SENTRY_TRACING` — dejar en `false` (default) para no consumir la cuota
-  free-tier de spans en operación 24/7.
-- `UPSTASH_REDIS_REST_URL` / `UPSTASH_REDIS_REST_TOKEN` — opcionales (rate limit
-  + cache). Vacío = desactivado.
+- `SENTRY_TRACING` — dejar en `false` (default) para no consumir la cuota free-tier
+  de spans en operación 24/7.
+- `UPSTASH_REDIS_REST_URL` / `UPSTASH_REDIS_REST_TOKEN` — opcionales (rate limit +
+  cache). Vacío = desactivado.
 
 > Nunca comitees el `.env` real. Solo `.env.vps.example` vive en el repo.
 
@@ -84,15 +93,15 @@ Ver `.env.vps.example`. Claves:
 cd /opt/arbpulse/deploy
 docker compose logs -f app        # logs de la app
 docker compose restart app        # reiniciar
-docker compose down               # detener
+docker compose down               # detener (app; agrega --profile caddy si aplica)
 bash /tmp/arbpulse-deploy.sh      # actualizar (git pull main + rebuild)
 ```
 
 ## Notas
 
-- Caddy usa `flush_interval -1` para que el SSE (`/api/stream`) fluya en tiempo
-  real; no comprimir `text/event-stream`.
-- El puerto 8080 se publica solo en `127.0.0.1` (no expuesto a Internet); el
-  tráfico público entra por Caddy (80/443).
-- Región: Hetzner no tiene Asia; para menor latencia a Binance/Bybit/OKX evalúa
-  un VPS en Singapur. Para Kraken (EU) Falkenstein/Helsinki va bien.
+- El puerto 8080 se publica solo en `127.0.0.1` (no expuesto a Internet); el tráfico
+  público entra por el reverse proxy del host (nginx o Caddy).
+- La app ya envía `X-Accel-Buffering: no` en el SSE, que nginx respeta para no
+  bufferear ese response.
+- Región: Hetzner no tiene Asia; para menor latencia a Binance/Bybit/OKX evalúa un
+  VPS en Singapur. Para Kraken (EU) Falkenstein/Helsinki va bien.