feat(deploy): APP_BIND – Port wahlweise nur lokal oder im Netz

Der Port war fest auf 127.0.0.1 gebunden. Richtig, solange ein Reverse
Proxy davorsteht – beim Ausprobieren in einer Testumgebung heißt es aber
ERR_CONNECTION_REFUSED, sobald man über die IP zugreift, und nichts im
Log deutet darauf hin: Der Kernel lehnt ab, bevor die Anwendung etwas
davon sieht.

APP_BIND ist jetzt eine Variable, Vorgabe bleibt 127.0.0.1. Gilt für die
App und für die Office-Container in allen drei README-Schnipseln.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

README.md

@@ -162,6 +162,13 @@ selbst anlegst (PocketID, Authentik); bei freier Registrierung wäre es die
 Übernahme fremder Konten. Verbunden wird ohnehin nur, was noch keine Bindung
 hat.
 
+**`APP_BIND`** entscheidet, wer den Port überhaupt erreicht. Die Vorgabe
+`127.0.0.1` heißt: **nur dieser Rechner.** Von einem anderen Gerät kommt dann
+kein Zeitüberlauf, sondern sofort `ERR_CONNECTION_REFUSED` – der Kernel lehnt
+ab, bevor irgendetwas die Anwendung erreicht. Das ist Absicht: Davor gehört
+dein Reverse Proxy mit TLS. Zum Ausprobieren im eigenen Netz `APP_BIND=0.0.0.0`
+setzen – dann geht die Anmeldung allerdings unverschlüsselt über das Netz.
+
 **`DATA_PATH`** ist ein gewöhnliches Verzeichnis auf dem Wirt, kein
 Docker-Volume – deshalb kommst du per SFTP, rsync oder im Dateimanager daran.
 Nur lesend anfassen: Wer von Hand hineinschreibt, hat eine Datei, die die
@@ -433,7 +440,7 @@ docker compose --profile office up -d
     cap_add: [MKNOD]
     networks: [internal]
     ports:
-      - "127.0.0.1:9980:9980"
+      - "${APP_BIND:-127.0.0.1}:9980:9980"
 ```
 
 ```env
@@ -458,7 +465,7 @@ OFFICE_ALLOWED_HOSTS=office
       JWT_SECRET: ${OFFICE_JWT_SECRET}
     networks: [internal]
     ports:
-      - "127.0.0.1:9980:80"     # OnlyOffice lauscht auf 80, nicht auf 9980
+      - "${APP_BIND:-127.0.0.1}:9980:80"   # OnlyOffice lauscht auf 80, nicht 9980
 ```
 
 ```env
@@ -491,7 +498,7 @@ heißen gleich. Für uns ist es deshalb **derselbe Anbieter** –
       ALLOW_PRIVATE_IP_ADDRESS: "true"  # es muss app:8080 erreichen
     networks: [internal]
     ports:
-      - "127.0.0.1:9980:80"
+      - "${APP_BIND:-127.0.0.1}:9980:80"
 ```
 
 Die `.env` ist dieselbe wie bei OnlyOffice. Rechne mit **5 GB** allein für das