Caddy in optionales Profil, damit belegte Ports 80/443 nicht blockieren

Auf dem Zielserver haelt bereits ein anderer Dienst Port 443, der Start des
Caddy-Containers scheiterte deshalb mit "port is already allocated". Zwei
Prozesse koennen sich einen Port nicht teilen.

- caddy laeuft nur noch mit "--profile edge"
- web veroeffentlicht 127.0.0.1:4321, damit ein vorhandener Reverse-Proxy
  darauf zugreifen kann, ohne dass der Port oeffentlich erreichbar wird
- README beschreibt beide Varianten inklusive vhost-Beispielen und dem
  Hinweis, dass Security-Header und IP-Maskierung dann im vorhandenen
  Proxy nachgezogen werden muessen

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docker-compose.yml

@@ -4,16 +4,22 @@ services:
     image: djnizz-website:latest
     container_name: djnizz-web
     restart: unless-stopped
-    # Kein ports-Mapping: der Node-Prozess ist nur im internen Netz
-    # erreichbar, nach aussen geht ausschliesslich Caddy.
-    expose:
-      - '4321'
+    # Nur auf Loopback veroeffentlicht: aus dem Internet nicht erreichbar,
+    # aber ein bereits vorhandener Reverse-Proxy auf dem Host kann darauf
+    # zugreifen. Mit eigenem Caddy (Profil "edge") laeuft der Verkehr
+    # stattdessen ueber das interne Docker-Netz.
+    ports:
+      - '${WEB_BIND:-127.0.0.1:4321}:4321'
     networks:
       - djnizz
     security_opt:
       - no-new-privileges:true
 
   caddy:
+    # Startet nur mit: docker compose --profile edge up -d
+    # Weglassen, wenn auf dem Server bereits ein Reverse-Proxy die Ports
+    # 80/443 belegt - zwei Prozesse koennen sich einen Port nicht teilen.
+    profiles: ['edge']
     image: caddy:2-alpine
     container_name: djnizz-caddy
     restart: unless-stopped