HTTPS: eigene lokale Root-CA statt externem DuckDNS/Let's Encrypt

docker-compose.yml

@@ -33,12 +33,15 @@ services:
     ports:
       - "8080:80"
       - "8443:443"
-    # Optional: eigenes Zertifikat statt des automatisch generierten
-    # selbstsignierten einbinden (z. B. per mkcert erzeugt, siehe README):
-    # volumes:
-    #   - ./certs/fullchain.pem:/etc/nginx/certs/fullchain.pem:ro
-    #   - ./certs/privkey.pem:/etc/nginx/certs/privkey.pem:ro
+    volumes:
+      # Lokale Root-CA + Server-Zertifikat, vom Container selbst erzeugt
+      # (siehe apps/frontend/docker-entrypoint.sh). Als Volume, damit die CA
+      # über Neustarts/Rebuilds stabil bleibt - einmal pro Gerät importiert
+      # (https://<host>:8080/ca.crt), reicht dauerhaft.
+      - launchpad-certs:/etc/nginx/certs
 
 volumes:
   launchpad-data:
     name: launchpad-data
+  launchpad-certs:
+    name: launchpad-certs