spusteni jen pres WG

.env.example

@@ -4,6 +4,14 @@
 # NIKDY necommitovat .env do gitu!
 # ============================================================
 
+# ---- Deploy / přístup k UI (produkce, deploy/docker-compose.yml) ----
+# Lokálně na serveru jen přes SSH: nech výchozí (127.0.0.1) – EMS_PUBLIC_BASE může zůstat prázdné (default v compose).
+#
+# Přístup jen přes WireGuard: na serveru zjisti IP wg0, např. ip -4 addr show wg0
+EMS_FRONTEND_BIND=10.200.200.1          # IP WireGuard rozhraní serveru (ne veřejná IP)
+# EMS_PUBLIC_BASE=http://10.0.0.1:8080  # stejná báze jako v prohlížeči (bez koncového /)
+# Volitelně Caddy na wg0: pak EMS_PUBLIC_BASE=https://ems.internal a frontend bind nechat 127.0.0.1 + reverse_proxy v Caddy.
+
 # ---- PostgreSQL ----
 DB_USER=ems_user
 DB_PASSWORD=change_me_strong_password