config: 0.0.0.0 als Vorgabe für APP_BIND im Betrieb

Auf Marcs Wunsch. Die bisherige Vorgabe 127.0.0.1 passt nur, wenn der
Reverse Proxy auf demselben Rechner läuft – steht er woanders (bei Marc
auf einem VPS), kommt er an loopback gar nicht heran, und die Vorgabe war
schlicht der falsche Wert für den häufigeren Fall.

Der Preis steht jetzt an allen drei Stellen dabei, statt nur gemeint zu
sein: Der Port ist dann auch aus dem eigenen Netz offen, und TLS endet
erst am Proxy. Im README dazu eine Tabelle, welcher Wert zu welchem
Aufbau gehört – eigener Rechner, anderer Rechner, Tunnel, oder Proxy im
selben Docker-Netz (dann braucht es gar kein ports:).

build/docker-compose.yml behält 127.0.0.1: Das ist die
Entwicklungsumgebung auf diesem Rechner, dort ist loopback richtig.

Gegengeprüft: Frische Kopie aus den Beispieldateien veröffentlicht auf
0.0.0.0; APP_BIND=127.0.0.1 in der .env engt wieder auf loopback ein.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docker-compose.example.yml

@@ -41,10 +41,12 @@ services:
       - ${DATA_PATH:-./data}:/data
     networks: [internal]
     ports:
-      # Standardmäßig nur loopback – davor gehört dein Reverse Proxy mit TLS.
-      # Zum Ausprobieren im LAN: APP_BIND=0.0.0.0 in der .env. Dann liegt die
-      # Anmeldung allerdings unverschlüsselt im Netz.
-      - "${APP_BIND:-127.0.0.1}:${APP_PORT:-8080}:8080"
+      # Vorgabe 0.0.0.0: erreichbar für alles, was den Server im Netz sieht –
+      # denn der Reverse Proxy steht meist auf einem anderen Rechner, und
+      # loopback ließe ihn nicht heran. Davor gehört er trotzdem, mit TLS.
+      # Läuft er auf DIESEM Rechner: APP_BIND=127.0.0.1 in der .env, dann ist
+      # der Port von außen dicht.
+      - "${APP_BIND:-0.0.0.0}:${APP_PORT:-8080}:8080"
 
   postgres:
     container_name: aether-db