First Commit with complete Setup coded by Claude 4.7 Opus

nginx/certs/README.md

@@ -0,0 +1,50 @@
+# TLS-Zertifikate
+
+Dieses Verzeichnis ist für deine eigenen TLS-Zertifikate gedacht.
+
+## Selbstsigniertes Zertifikat (Standard)
+
+Wenn dieses Verzeichnis **leer** ist, generiert CardSync beim ersten Start
+automatisch ein selbstsigniertes Zertifikat (10 Jahre gültig) für die Hostnamen:
+- `cardsync.local`
+- `localhost`
+- `127.0.0.1`
+
+Browser zeigen dabei eine Sicherheitswarnung, die du einmalig akzeptieren musst.
+
+## Eigenes Zertifikat verwenden (Wildcard, Let's Encrypt, etc.)
+
+Lege deine Dateien hier ab — **exakt mit diesen Namen**:
+
+```
+nginx/certs/cert.pem   ← Public Cert (inkl. Intermediate-Chain bei CA-Certs)
+nginx/certs/key.pem    ← Private Key (unverschlüsselt)
+```
+
+Falls dein Provider die Datei anders nennt:
+| Datei vom Provider                  | → umbenennen zu |
+|-------------------------------------|-----------------|
+| `fullchain.pem` (Let's Encrypt)     | `cert.pem`      |
+| `privkey.pem` (Let's Encrypt)       | `key.pem`       |
+| `cert.crt` + `bundle.crt`           | zusammenfügen zu `cert.pem` (cert zuerst, dann bundle) |
+| `*.pfx` (Windows)                   | siehe Konvertierung unten |
+
+## PFX/P12 nach PEM konvertieren
+
+Falls du nur eine `.pfx`-Datei hast (typisch bei Windows-Wildcard-Certs):
+
+```bash
+# Cert extrahieren
+openssl pkcs12 -in dein-zertifikat.pfx -clcerts -nokeys -out cert.pem
+
+# Key extrahieren (entschlüsselt)
+openssl pkcs12 -in dein-zertifikat.pfx -nocerts -nodes -out key.pem
+```
+
+## Nach Cert-Tausch
+
+```bash
+docker compose restart frontend
+```
+
+Das ist alles — CardSync übernimmt das neue Zertifikat automatisch.