diff --git a/.env.example b/.env.example
new file mode 100644
index 0000000..09f48d4
--- /dev/null
+++ b/.env.example
@@ -0,0 +1,48 @@
+# Instellingen van deze Server Up-installatie.
+#
+# Kopieer naar `.env` in dezelfde map als docker-compose.yml. Het bestand staat
+# in .gitignore en wordt door de deploy-workflow met rust gelaten, dus wat je
+# hier zet blijft staan bij een update.
+#
+#   cp .env.example .env
+
+# ── Bereikbaarheid ───────────────────────────────────────────────────────────
+
+# Op welk adres de poort wordt gepubliceerd.
+#   127.0.0.1  alleen vanaf de server zelf (standaard, veiligst)
+#   0.0.0.0    vanaf het hele netwerk — doe dit alleen achter een reverse proxy
+#              met TLS, want Server Up beheert Docker als root
+BIND=127.0.0.1
+
+# Poort op de host.
+PORT=5000
+
+# ── Versie en bijwerken ──────────────────────────────────────────────────────
+
+# Welke image-tag draait. De deploy-workflow schrijft deze waarde zelf; met de
+# hand aanpassen kan om terug te rollen naar een eerdere versie.
+#SU_TAG=0.5.40-beta
+
+# Registry-image, zónder tag. Staat dit ingevuld, dan draait deze server vanaf
+# een registry en werkt de knop "Nu bijwerken" in de interface. Laat het leeg
+# als de server zelf bouwt na een push naar Git — dan is Git de update-route.
+# Zie docs/updates.md.
+#SU_IMAGE=git.example.com/bes-r/server-up
+
+# ── Overig ───────────────────────────────────────────────────────────────────
+
+# Waar de stacks, appdata en backups komen te staan. Dit pad wordt in de
+# container op hetzelfde pad gemount, zodat compose-bestanden kloppen.
+#BASE_DIR=/opt/serverup
+
+# Zet op 1 zodra alles via HTTPS loopt: de sessiecookie krijgt dan de
+# Secure-vlag.
+#SU_HTTPS=1
+
+# Extra app-repositories zonder de wizard, als JSON-array. Eenmalig ingelezen
+# en daarna opgeslagen in config.json.
+#SU_BOOT_REPOS=[{"id":"mijn-apps","name":"Mijn Apps","url":"https://…","branch":"main","subdir":"apps"}]
+
+# Debug-endpoints (/api/debug/*) inschakelen. Alleen tijdelijk gebruiken:
+# /api/debug/config toont de volledige configuratie.
+#SU_DEBUG=1
diff --git a/docs/beveiliging.md b/docs/beveiliging.md
index f94760f..cd3e449 100644
--- a/docs/beveiliging.md
+++ b/docs/beveiliging.md
@@ -17,7 +17,18 @@ waarschuwing zien.
 
 Standaard bindt `docker-compose.yml` de poort op `127.0.0.1`, dus alleen vanaf de
 server zelf bereikbaar. Wil je er van buitenaf bij, zet dan een reverse proxy met
-TLS ervoor (zie onder) en pas `BIND` aan in je `.env`.
+TLS ervoor (zie onder) en pas `BIND` aan in je `.env`:
+
+```bash
+cd /opt/docker/server-up        # of /opt/server-up op prod
+cp .env.example .env            # alleen de eerste keer
+sed -i 's/^BIND=.*/BIND=0.0.0.0/' .env
+docker compose up -d
+```
+
+`.env` staat in `.gitignore` en wordt door de deploy-workflow overgeslagen, dus
+je instellingen blijven staan bij een update. Alle beschikbare sleutels staan
+met uitleg in `.env.example`.
 
 ## Authenticatiemodi