docs(office): OFFICE_JWT_SECRET fehlte in beiden .env.example

Die README-Schnipsel fuer OnlyOffice und Euro-Office verlangen
OFFICE_JWT_SECRET, in den Beispieldateien stand es nicht – Compose warnt
dann nur 'variable is not set' und der Dokumentenserver laeuft mit leerem
Geheimnis.

Dazu praeziser, wo es bei OnlyOffice/Euro-Office nach Aktenlage haken
wuerde: IP-Filter des Integrators und Proof-Key-Signatur. Beides
ungeprueft, aber besser benannt als verschwiegen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

.env.example

@@ -64,3 +64,6 @@ OFFICE_PUBLIC_URL=https://office.example.com
 OFFICE_WOPI_URL=http://app:8080
 # Gegen SSRF: was das Backend anfragen darf.
 OFFICE_ALLOWED_HOSTS=office
+# Nur fuer OnlyOffice/Euro-Office: gemeinsames Geheimnis, mind. 32 Zeichen.
+# openssl rand -hex 32   – Collabora braucht es nicht.
+OFFICE_JWT_SECRET=

README.md

@@ -538,6 +538,21 @@ Abbild.
 > Speichern eingeschlossen. Die beiden anderen Schnipsel stehen nach ihrer
 > Dokumentation und dem gemeinsamen WOPI-Weg, sind auf dieser Anlage aber nie
 > gelaufen – für OnlyOffice fehlt schlicht der Arbeitsspeicher.
+>
+> Wenn der Editor dort leer bleibt, sind das die zwei Stellen, an denen es
+> nach Aktenlage hakt:
+>
+> 1. **Der IP-Filter.** OnlyOffice nimmt WOPI-Anfragen nur von einem
+>    „vertrauenswürdigen Integrator" an; dessen Adresse muss in seiner
+>    Positivliste stehen. Bei Collabora heißt dasselbe `aliasgroup1`.
+> 2. **Der Proof-Key.** OnlyOffice signiert seine WOPI-Anfragen und legt den
+>    öffentlichen Schlüssel als `proof-key` in die Discovery. Wir prüfen die
+>    Signatur **nicht** – erlaubt, aber falls es dort eine Pflicht gibt, wäre
+>    das der Ort.
+>
+> `JWT_SECRET` betrifft nach der Dokumentation die eigene API des
+> Dokumentenservers, nicht den WOPI-Weg – unser Adapter signiert damit nichts.
+> Der Schlüssel gehört trotzdem gesetzt, sonst läuft der Server offen.
 
 ### Welche Dateien, und wie gut
 

deploy/.env.example

@@ -80,6 +80,9 @@ OFFICE_PUBLIC_URL=              # Browser → Office; leer = wie OFFICE_URL
 # NICHT localhost, NICHT der veröffentlichte Port – beides scheitert.
 OFFICE_WOPI_URL=
 OFFICE_ALLOWED_HOSTS=           # gegen SSRF; Host aus OFFICE_URL zählt immer
+# Nur fuer OnlyOffice/Euro-Office: gemeinsames Geheimnis, mind. 32 Zeichen.
+# openssl rand -hex 32   – Collabora braucht es nicht.
+OFFICE_JWT_SECRET=
 OFFICE_INSECURE_TLS=false       # nur für Tests mit selbstsigniertem Zertifikat
 
 # Nur für den Collabora-Container aus deploy/docker-compose.yml: