feat(deploy): APP_BIND – Port wahlweise nur lokal oder im Netz

Der Port war fest auf 127.0.0.1 gebunden. Richtig, solange ein Reverse
Proxy davorsteht – beim Ausprobieren in einer Testumgebung heißt es aber
ERR_CONNECTION_REFUSED, sobald man über die IP zugreift, und nichts im
Log deutet darauf hin: Der Kernel lehnt ab, bevor die Anwendung etwas
davon sieht.

APP_BIND ist jetzt eine Variable, Vorgabe bleibt 127.0.0.1. Gilt für die
App und für die Office-Container in allen drei README-Schnipseln.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

TESTING.md

@@ -646,6 +646,29 @@ breiteste.
 
 ---
 
+## Erreichbarkeit von außen (24.08.2026)
+
+`ERR_CONNECTION_REFUSED` beim Zugriff über die IP ist meist kein Fehler,
+sondern die Vorgabe: Der Port ist auf `127.0.0.1` gebunden, davor gehört der
+Reverse Proxy. Der Kernel lehnt ab, bevor irgendetwas die Anwendung erreicht –
+daher „refused" und kein Zeitüberlauf.
+
+Prüfen:
+
+```bash
+docker ps --format '{{.Names}}\t{{.Ports}}'
+# 127.0.0.1:8090->8080/tcp   = nur dieser Rechner
+# 0.0.0.0:8090->8080/tcp     = das ganze Netz
+```
+
+- [ ] Ohne `APP_BIND` bindet der Port auf `127.0.0.1` 🔎
+- [ ] `APP_BIND=0.0.0.0` bindet auf alle Adressen 🔎
+- [ ] Mit `0.0.0.0` von einem zweiten Gerät im Netz erreichbar
+- [ ] Hinter dem Reverse Proxy wieder auf `127.0.0.1` zurückstellen – sonst
+      steht die Anmeldung unverschlüsselt im Netz
+
+---
+
 ## Frische Umgebung nur aus den Beispieldateien (24.08.2026)
 
 Der einzige Test, der zählt: `docker-compose.example.yml` + `.env.example`