docs(office): aliasgroup1 und OFFICE_WOPI_URL richtiggestellt

Der Collabora-Schnipsel empfahl `aliasgroup1: http://app:8080` und
`OFFICE_WOPI_URL=http://app:8080`. Beides kann nicht funktionieren,
sobald der Browser die Cloud unter einer anderen Adresse sieht als der
Docker-Dienstname – also immer:

  * Collabora baut aus WOPISrc sein frame-ancestors. Steht dort der
    interne Name, lehnt der Browser die Einbettung ab.
  * aliasgroup1 ist die Positivliste der WOPI-Hosts. Steht der Host
    nicht drin: "No authorized hosts found matching the target host".

Beide Zeilen nennen jetzt die öffentliche Adresse, aliasgroup1 als
regulären Ausdruck mit Port. Dazu die Begründung im Text (samt der
Folge, dass Collabora die Datei dann über den Reverse Proxy holt), zwei
Zeilen in der Fehlertabelle und derselbe Hinweis in der .env.example.

Außerdem der Kenntnisstand zu OnlyOffice nachgezogen: Start, Umwandlung
nach PDF und JWT sind hier inzwischen gemessen, der WOPI-Kreis nicht.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/.env.example

@@ -102,6 +102,9 @@ OFFICE_URL=
 OFFICE_PUBLIC_URL=
 # Office → Aether; leer = PUBLIC_URL.
 # Weder localhost noch der veröffentlichte Port – beides scheitert.
+# **Bei Collabora die öffentliche Adresse der Cloud**, nicht app:8080: Aus
+# diesem Wert baut Collabora sein frame-ancestors, und der Browser darf den
+# Rahmen sonst nicht zeigen. Siehe README, Abschnitt Office.
 OFFICE_WOPI_URL=
 # Gegen SSRF; der Host aus OFFICE_URL zählt immer dazu.
 OFFICE_ALLOWED_HOSTS=
@@ -109,7 +112,11 @@ OFFICE_ALLOWED_HOSTS=
 OFFICE_JWT_SECRET=
 OFFICE_INSECURE_TLS=false       # nur für Tests mit selbstsigniertem Zertifikat
 
-# Nur für den Collabora-Container aus deploy/docker-compose.yml:
+# Nur für den Collabora-Container aus deploy/docker-compose.yml.
+# Derselbe Host wie in OFFICE_WOPI_URL, aber als regulärer Ausdruck: Punkte
+# maskieren, Port anhängen. Beispiel:
+#   OFFICE_ALIASGROUP=https://cloud\.example\.com:443
+# Fehlt er, lehnt Collabora mit „No authorized hosts found" ab.
 OFFICE_ALIASGROUP=http://app:8080
 OFFICE_SSL=false
 OFFICE_SSL_TERMINATION=false    # true nur, wenn davor wirklich HTTPS endet