.env.example toevoegen met alle instellingen erin

Nergens stond bij elkaar welke sleutels in het .env van de deploy-map horen.
BIND kwam alleen in docs/beveiliging.md voor, SU_IMAGE en SU_TAG alleen in
docs/updates.md, en de rest nergens.

- .env.example met BIND, PORT, SU_TAG, SU_IMAGE, BASE_DIR, SU_HTTPS,
  SU_BOOT_REPOS en SU_DEBUG, elk met uitleg wanneer je ze nodig hebt.
- docs/beveiliging.md wijst er nu naar, met de concrete stappen om de interface
  van buiten de server bereikbaar te maken.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01C7oLCRYzY5ixJ5Sv8Y8EFb

.env.example

@@ -0,0 +1,48 @@
+# Instellingen van deze Server Up-installatie.
+#
+# Kopieer naar `.env` in dezelfde map als docker-compose.yml. Het bestand staat
+# in .gitignore en wordt door de deploy-workflow met rust gelaten, dus wat je
+# hier zet blijft staan bij een update.
+#
+#   cp .env.example .env
+
+# ── Bereikbaarheid ───────────────────────────────────────────────────────────
+
+# Op welk adres de poort wordt gepubliceerd.
+#   127.0.0.1  alleen vanaf de server zelf (standaard, veiligst)
+#   0.0.0.0    vanaf het hele netwerk — doe dit alleen achter een reverse proxy
+#              met TLS, want Server Up beheert Docker als root
+BIND=127.0.0.1
+
+# Poort op de host.
+PORT=5000
+
+# ── Versie en bijwerken ──────────────────────────────────────────────────────
+
+# Welke image-tag draait. De deploy-workflow schrijft deze waarde zelf; met de
+# hand aanpassen kan om terug te rollen naar een eerdere versie.
+#SU_TAG=0.5.40-beta
+
+# Registry-image, zónder tag. Staat dit ingevuld, dan draait deze server vanaf
+# een registry en werkt de knop "Nu bijwerken" in de interface. Laat het leeg
+# als de server zelf bouwt na een push naar Git — dan is Git de update-route.
+# Zie docs/updates.md.
+#SU_IMAGE=git.example.com/bes-r/server-up
+
+# ── Overig ───────────────────────────────────────────────────────────────────
+
+# Waar de stacks, appdata en backups komen te staan. Dit pad wordt in de
+# container op hetzelfde pad gemount, zodat compose-bestanden kloppen.
+#BASE_DIR=/opt/serverup
+
+# Zet op 1 zodra alles via HTTPS loopt: de sessiecookie krijgt dan de
+# Secure-vlag.
+#SU_HTTPS=1
+
+# Extra app-repositories zonder de wizard, als JSON-array. Eenmalig ingelezen
+# en daarna opgeslagen in config.json.
+#SU_BOOT_REPOS=[{"id":"mijn-apps","name":"Mijn Apps","url":"https://…","branch":"main","subdir":"apps"}]
+
+# Debug-endpoints (/api/debug/*) inschakelen. Alleen tijdelijk gebruiken:
+# /api/debug/config toont de volledige configuratie.
+#SU_DEBUG=1

docs/beveiliging.md

@@ -17,7 +17,18 @@ waarschuwing zien.
 
 Standaard bindt `docker-compose.yml` de poort op `127.0.0.1`, dus alleen vanaf de
 server zelf bereikbaar. Wil je er van buitenaf bij, zet dan een reverse proxy met
-TLS ervoor (zie onder) en pas `BIND` aan in je `.env`.
+TLS ervoor (zie onder) en pas `BIND` aan in je `.env`:
+
+```bash
+cd /opt/docker/server-up        # of /opt/server-up op prod
+cp .env.example .env            # alleen de eerste keer
+sed -i 's/^BIND=.*/BIND=0.0.0.0/' .env
+docker compose up -d
+```
+
+`.env` staat in `.gitignore` en wordt door de deploy-workflow overgeslagen, dus
+je instellingen blijven staan bij een update. Alle beschikbare sleutels staan
+met uitleg in `.env.example`.
 
 ## Authenticatiemodi