Instalar o Papyro

O Papyro envia um pequeno beacon de licença para admin.papyro.dev aproximadamente a cada 12 horas e recebe de volta um direito assinado, para que alterações de plano, assentos e expiração cheguem à sua instalação sem um novo arquivo de chave. Ele envia o ID da sua licença, um hash unidirecional de BETTER_AUTH_URL, os assentos em uso, a versão do Papyro e um nonce de uso único — nunca conteúdo do espaço de trabalho, nomes de usuários ou endereços de e-mail.

PAPYRO_LICENSE_CHECKIN_URL=off

Adicione esta linha ao .env para uma instalação totalmente isolada da rede (air-gapped). Sua chave assinada continua funcionando offline no nível que você adquiriu; as alterações de plano então chegam como uma chave reemitida.

O .env baixado traz mais opções do que o bloco acima. Tudo aqui vem comentado por padrão — descomente apenas o que você precisar:

• Salas de reunião — descomente o serviço livekit e defina LIVEKIT_URL e LIVEKIT_API_SECRET. ROOMS_MAX_CONCURRENT limita os participantes simultâneos em todas as salas.
• Legendas de sala ao vivo (50 idiomas falados → 51 idiomas de legenda) — adicione o serviço translator, defina ROOMS_TRANSLATION_ENABLED=true e informe seus próprios DEEPGRAM_API_KEY e OPENAI_API_KEY. O uso é cobrado nas suas próprias contas. Os idiomas oferecidos nos seletores são escolha sua via ROOMS_SPOKEN_LANGUAGES (padrão: os sete idiomas da interface).
• Backups externos — descomente o serviço r2-sync e preencha os valores R2_* para espelhar dumps do banco de dados e uploads para o Cloudflare R2 todas as noites.
• Retenção — TRASH_RETENTION_DAYS, BOARD_TRASH_RETENTION_DAYS, ACTIVITY_RETENTION_DAYS, AUTH_EVENTS_RETENTION_DAYS e os demais substituem por quanto tempo cada tipo de registro é mantido.
• Notificações do Helpdesk — NETGSM_* envia um SMS quando uma chamada é marcada como inacessível; RESEND_API_KEY e RESEND_FROM enviam por e-mail os relatórios de atividade em campo. Em branco desativa os dois.
• Rastreamento de erros — ERROR_AI_ENABLED=0 desativa a análise de causa raiz por IA (os stack traces são enviados à OpenAI quando está ativado). WEBHOOK_ALLOW_PRIVATE=1 permite que os webhooks do quadro alcancem receptores em rede privada.
• Operações — DB_POOL_MAX, SHUTDOWN_DRAIN_MS, REALTIME_MAX_* e UPLOAD_MIN_FREE_BYTES ajustam o tamanho do pool, o tempo de drenagem, os limites de conexões em tempo real e a proteção de espaço livre.

Cada valor está documentado inline no .env que você baixou. Em branco significa que o padrão embutido se aplica.

Like other self-hosted collaboration tools, Papyro stores workspace content as regular PostgreSQL rows so search and exports work; application-layer secrets (integration credentials) are additionally encrypted. Protecting the data at rest is done at the disk layer of your server:

• Encrypt the disk or volume that holds your Docker volumes — LUKS on bare-metal Linux, or your cloud provider's encrypted block storage.
• Database dumps land in the dbbackups volume on the same disk. If you copy them elsewhere, keep them encrypted in transit and at the destination.
• If you enable the optional R2 backup sync, Cloudflare encrypts stored objects at rest; scope the API token to that single bucket.

HTTPS in front of the app is already required (step 1). Combined with disk encryption and encrypted backups this matches the at-rest baseline that SOC 2 / ISO 27001 questionnaires expect.