fix: Hinter einem Reverse Proxy zeigte die SSO-Rueckleitung nach innen

Die Adresse, an die der Anmeldedienst zurueckschickt, wurde aus der Anfrage
abgeleitet. Hinter einem Proxy ist das die INTERNE – http://10.0.0.5:8071/… –,
denn uvicorn lief ohne --proxy-headers. Der Anmeldedienst haette die
Rueckleitung abgewiesen, mit einer Meldung, die nicht sagt, woran es liegt.

APP_PUBLIC_BASE_URL sagt es ihm jetzt ausdruecklich. Leer bleiben darf sie
weiterhin: ohne Proxy und in der Entwicklung genuegt die Anfrage.

Die Referenz-Unit bekommt zusaetzlich --proxy-headers. Das hilft neuen
Installationen; bestehende ruehrt update.sh nicht an, deshalb ist die
Einstellung der verlaessliche Weg.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/env.example

@@ -37,6 +37,12 @@ APP_ECB_FETCH_ON_START=true
 # Wird vom Install-/Update-Skript gesetzt (kurzer Git-Commit, für /api/version).
 APP_GIT_SHA=
 
+# Unter welcher Adresse Certain von aussen erreichbar ist – ohne Pfad am Ende.
+# Nur nötig für die SSO-Anmeldung (siehe unten), dort aber wichtig: Hinter einem
+# Reverse Proxy käme sonst die INTERNE Adresse heraus (http://10.0.0.5:8071/…),
+# und der Anmeldedienst weist die Rückleitung ab.
+#APP_PUBLIC_BASE_URL=https://certain.example.com
+
 # --- Anmeldung über einen fremden Dienst (OpenID Connect) --------------------
 #
 # Optional. Bleibt APP_OIDC_PROVIDERS leer, ändert sich nichts: Es gibt weiter