diff --git a/.forgejo/workflows/deploy-prod.yml b/.forgejo/workflows/deploy-prod.yml
index 76d6e85..764f420 100644
--- a/.forgejo/workflows/deploy-prod.yml
+++ b/.forgejo/workflows/deploy-prod.yml
@@ -79,9 +79,18 @@ jobs:
           set -euo pipefail
           # SU_TAG vastleggen zodat compose en de "Nu bijwerken"-knop in de app
           # naar hetzelfde image wijzen (zie docs/updates.md).
+          #
+          # Bestaat er nog geen .env, dan zetten we hem op vanuit .env.example,
+          # zodat BIND, PORT en SU_IMAGE zichtbaar en instelbaar zijn. Een
+          # bestaande .env blijft ongemoeid; rsync slaat hem over.
+          if [ ! -f .env ] && [ -f .env.example ]; then
+            cp .env.example .env
+            echo "Nieuwe .env aangemaakt vanuit .env.example"
+          fi
           touch .env
           sed -i '/^SU_TAG=/d' .env
           echo "SU_TAG=${VERSION}" >> .env
+          echo "Actieve instellingen:"; grep -vE '^\s*(#|$)' .env | sed 's/^/  /'
 
           # Draait deze server vanaf de registry (SU_IMAGE in .env), dan bouwen
           # we hier én pushen we het resultaat, zodat de in-app updateknop het
diff --git a/.forgejo/workflows/deploy.yml b/.forgejo/workflows/deploy.yml
index 15a493b..c53196f 100644
--- a/.forgejo/workflows/deploy.yml
+++ b/.forgejo/workflows/deploy.yml
@@ -79,9 +79,19 @@ jobs:
           set -euo pipefail
           # De dev-server bouwt altijd zelf vanaf de dev-branch. SU_TAG vastleggen
           # zodat compose exact het zojuist gebouwde image start.
+          #
+          # Bestaat er nog geen .env, dan zetten we hem op vanuit .env.example.
+          # Zo staat er een leesbaar bestand met alle instellingen erin (BIND,
+          # PORT, SU_IMAGE) in plaats van alleen een kale SU_TAG-regel. Een
+          # bestaande .env blijft ongemoeid; rsync slaat hem over.
+          if [ ! -f .env ] && [ -f .env.example ]; then
+            cp .env.example .env
+            echo "Nieuwe .env aangemaakt vanuit .env.example"
+          fi
           touch .env
           sed -i '/^SU_TAG=/d' .env
           echo "SU_TAG=${VERSION}" >> .env
+          echo "Actieve instellingen:"; grep -vE '^\s*(#|$)' .env | sed 's/^/  /'
           docker compose build --pull
           docker tag "server-up:${VERSION}" "server-up:${CHANNEL}" || true
 
diff --git a/docker-compose.yml b/docker-compose.yml
index 8df8431..9e647c9 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -23,7 +23,11 @@ services:
     ports:
       # Standaard alleen bereikbaar vanaf de host zelf. Server Up beheert de
       # Docker-daemon, dus zet dit pas open als er een reverse proxy met TLS
-      # voor staat: BIND=0.0.0.0 in .env (en stel in de UI de trusted proxy in).
+      # voor staat.
+      #
+      # ⚠ Pas dit hier NIET aan. Dit bestand staat in Git en wordt bij elke
+      #   deploy overschreven. Zet BIND=0.0.0.0 in .env ernaast — dat bestand
+      #   blijft wél staan. Zie .env.example.
       - "${BIND:-127.0.0.1}:${PORT:-5000}:5000"
     environment:
       - PORT=5000