diff --git a/backend/src/index.js b/backend/src/index.js
index dc65262..2a9e9d5 100644
--- a/backend/src/index.js
+++ b/backend/src/index.js
@@ -5,6 +5,11 @@ const fs      = require('fs');
 require('./db');
 
 const app = express();
+// Hinter Nginx Proxy Manager (SSL-Terminierung) — sonst meldet req.protocol
+// immer "http", auch wenn der Nutzer über https zugreift (z.B. wichtig für
+// das MakerWorld-Bookmarklet: sonst mixed-content-blockiert der Browser den
+// fetch()-Call stillschweigend, weil die generierte Origin auf http:// zeigt)
+app.set('trust proxy', true);
 app.use(express.json({ limit: '10mb' }));
 
 // ── Aktivitäts-Tracking: nur bei echten Aktionen (POST/PUT/DELETE) ─────────────