HTTPS im lokalen Netz (Port 8443, selbstsigniertes Zertifikat, optional mkcert)

docs/ROADMAP.md

@@ -181,3 +181,23 @@ Geräte):
   (3) Umbenennen einer Kategorie im Adminbereich aktualisiert automatisch
   alle Dienste mit dem alten Namen. Einschränkung: manuell per API angelegte
   Dienste (nicht über einen Scan) lösen diesen Sync aktuell nicht aus.
+
+## HTTPS im lokalen Netz
+
+- Frontend-Container liefert jetzt zusätzlich zu HTTP (Port 8080) auch HTTPS
+  auf Port 8443 aus, kein erzwungener Redirect.
+- Entrypoint-Skript (`apps/frontend/docker-entrypoint.sh`) erzeugt beim
+  Containerstart automatisch ein selbstsigniertes Zertifikat für die in
+  `.env` hinterlegte `LAUNCHPAD_HOST` (IP-SAN bei IP-Adressen, DNS-SAN bei
+  Hostnamen) – übernimmt nichts, falls unter `/etc/nginx/certs/` bereits
+  eigene Zertifikate eingebunden sind (siehe README, z. B. per mkcert für
+  eine Variante ohne Browser-Warnung).
+- `nginx.conf` in HTTP- und HTTPS-Serverblock aufgeteilt, gemeinsame
+  Location-Regeln in `nginx-locations.conf` ausgelagert (kein doppelt
+  gepflegter Proxy-/Cache-Code).
+
+> Verifiziert: Zertifikatserzeugung für IP-, Hostname- und Fallback-Fall
+> getestet, komplette nginx-Konfiguration mit einem echten nginx-Binary
+> validiert (`nginx -t` erfolgreich), echter TLS-Handshake gegen den
+> laufenden Server durchgeführt und geprüft, dass das ausgelieferte
+> Zertifikat die korrekte IP als Subject Alternative Name trägt.