feat(deploy): APP_BIND – Port wahlweise nur lokal oder im Netz

Der Port war fest auf 127.0.0.1 gebunden. Richtig, solange ein Reverse
Proxy davorsteht – beim Ausprobieren in einer Testumgebung heißt es aber
ERR_CONNECTION_REFUSED, sobald man über die IP zugreift, und nichts im
Log deutet darauf hin: Der Kernel lehnt ab, bevor die Anwendung etwas
davon sieht.

APP_BIND ist jetzt eine Variable, Vorgabe bleibt 127.0.0.1. Gilt für die
App und für die Office-Container in allen drei README-Schnipseln.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/docker-compose.yml

@@ -34,8 +34,10 @@ services:
       - ${DATA_PATH:-./data}:/data
     networks: [internal]
     ports:
-      # Nur loopback. TLS und Domain gehören auf den Reverse Proxy des Wirts.
-      - "127.0.0.1:${APP_PORT:-8080}:8080"
+      # Standardmäßig nur loopback – davor gehört dein Reverse Proxy mit TLS.
+      # Zum Ausprobieren im LAN: APP_BIND=0.0.0.0 in der .env. Dann liegt die
+      # Anmeldung allerdings unverschlüsselt im Netz.
+      - "${APP_BIND:-127.0.0.1}:${APP_PORT:-8080}:8080"
 
   postgres:
     container_name: aether-db
@@ -75,7 +77,7 @@ services:
       - "host.docker.internal:host-gateway"
     networks: [internal]
     ports:
-      - "127.0.0.1:${OFFICE_PORT:-9980}:9980"
+      - "${APP_BIND:-127.0.0.1}:${OFFICE_PORT:-9980}:9980"
 
 volumes:
   postgres_data: