sync: update from private repo (d31b280)

config.yaml.example

@@ -64,7 +64,11 @@ llm:
     #   max_concurrency: 2
     #   enabled: true
 
-    # 例: タイトル生成専用ワーカー (chat ジョブは受け付けない)
+    # 例: タイトル生成用ワーカー (chat ジョブは受け付けない)。
+    # 注意: タスク作成時にタイトル用 LLM はもう呼ばれない (実行中にエージェントが
+    # Mission Brief の goal からタイトルを派生する)。このワーカーは
+    # 「AIでタイトルを再生成」ボタン (POST /api/local/tasks/:id/regenerate-title)
+    # のオンデマンド生成にのみ使われる。未設定なら先頭ワーカーが代替する。
     # - id: title-worker
     #   connection_type: direct
     #   endpoint: http://localhost:11434/v1
@@ -265,6 +269,7 @@ tools:
   # office_pdf_max_size_mb: 10                # ReadPdf 上限
   # office_pptx_max_size_mb: 50               # ReadPPTX 上限
   # office_pptx_max_uncompressed_mb: 200      # PPTX ZIP 展開後上限 (zip-bomb 検知)
+  # office_msg_max_size_mb: 25                # ReadMsg 上限 (default 25)
   # speech_server_url: http://localhost:8000/v1
   # speech_timeout: 300
   # speech_language: ja
@@ -307,6 +312,29 @@ tools:
 #     total_max_kb: 32
 #     over_budget_strategy: skip_remaining    # truncate_last / skip_remaining (default) / degrade_to_search
 
+# ─── サーバー TLS (オプション) ───────────────────────────────
+# 【フレッシュインストール】setup.sh が server.tls.enabled: true を自動書き込む。
+# 【アップグレード】server ブロック未記載の場合は false のまま（既存デプロイを壊さない）。
+# 【リバースプロキシ構成】このブロックを省略するか enabled: false のままにすること。
+#   プロキシが TLS を終端しているので、ここで有効にすると二重終端になり接続が壊れる。
+#
+# server:
+#   tls:
+#     enabled: true               # フレッシュインストールのデフォルト; ブロック未記載=アップグレード時 false
+#     cert_file: null             # PEM 証明書パス (任意); cert_file と key_file は両方設定するか両方省略
+#     key_file: null
+#     min_version: TLSv1.2
+#     self_signed_dir: ./data/tls
+#     self_signed_hosts: []       # localhost / 127.0.0.1 / ::1 / hostname は常に含まれる
+#     http_redirect: true
+#     http_redirect_port: 9080    # HTTPS ポートと異なる値にすること
+#     redirect_host: null         # リダイレクト先のホスト; null = バインドホストを使用
+#   # リバースプロキシ構成: このブロックを省略するか enabled: false のままにすること。
+#   # プロキシが TLS を終端している場合に native TLS を有効にすると二重終端になり壊れる。
+#   # noVNC / SSH コンソールを wss で使う場合は「信頼済み証明書」が必要
+#   # (自己署名の wss はブラウザに click-through がない) —
+#   # cert_file / key_file で実証明書を指定するか、OS の信頼ストアに自己署名 CA を登録すること。
+
 # ─── 認証 (オプション) ────────────────────────────────────────
 # 未設定なら認証なしで動作 (従来互換)。
 # auth: