diff --git a/.env.example b/.env.example
index fcfbbbd..ec0c9ee 100644
--- a/.env.example
+++ b/.env.example
@@ -80,6 +80,20 @@ TMP_PATH=/data/tmp
 # Frühere Fassungen je Datei. Greift nur bei eingeschaltetem „Keep versions".
 MAX_VERSIONS_KEPT=5
 
+# ══ Volltextsuche (OCR) ═══════════════════════════════════════════════════════
+# Standardmäßig an. Fehlen die Programme im Abbild, schaltet sich der Arbeiter
+# beim Start selbst ab, statt den Start zu verhindern.
+OCR_ENABLED=true
+# Sprachen für Tesseract. Jede zusätzliche kostet Zeit – nimm nur, was vorkommt.
+OCR_LANGUAGES=deu+eng
+# Seiten je Datei; 0 = unbegrenzt. Die Grenze ist Absicht: OCR ist das einzige
+# Stück dieser Anwendung, das ohne Zutun eines Menschen Platz und Rechenzeit
+# verbraucht. Wer regelmäßig lange Scans ablegt, setzt sie herauf.
+OCR_MAX_PAGES=50
+# Abbruch je Datei. Ein Scan, der so lange braucht, wird auch beim vierten
+# Versuch nicht fertig.
+OCR_TIMEOUT=10m
+
 # ══ Anmeldung über einen Identitätsanbieter (optional) ════════════════════════
 # Leerer OIDC_ISSUER = aus. Sonst die vollständige ADRESSE des Anbieters,
 # z. B. https://id.example.com – nicht seinen Namen. Falsch gesetzt bricht der
@@ -107,6 +121,9 @@ OFFICE_URL=http://office        # Backend → Office (Collabora: :9980)
 OFFICE_PUBLIC_URL=
 OFFICE_WOPI_URL=http://app:8080 # Office → Aether
 OFFICE_ALLOWED_HOSTS=office     # gegen SSRF
+# Nur für ein Office mit selbstsigniertem Zertifikat im eigenen Netz. Schaltet
+# die Zertifikatsprüfung **ab** – im Internet nichts zu suchen.
+OFFICE_INSECURE_TLS=false
 # nur OnlyOffice, openssl rand -hex 32
 OFFICE_JWT_SECRET=