feat(tls): optionales certbot-Setup vorbereitet (Option A)

setup-tls.sh: auf Server ausführbares, manuelles Skript für direktes
Let's-Encrypt-Zertifikat via certbot --nginx. Bleibt ungenutzt solange
der vorgeschaltete Proxy TLS+Domain übernimmt (aktueller Stand) -
nginx.conf bleibt deshalb bewusst HTTP-only, certbot würde die
443-Erweiterung selbst in /etc/nginx/ einfügen, nicht ins Repo.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01LTxkZEUdfgMxZvHPiZJ8bV

nginx.conf

@@ -1,9 +1,10 @@
-# HTTP-only Konfiguration (SSL/HTTPS noch nicht eingerichtet)
-# Sobald ein TLS-Zertifikat vorhanden ist:
-#   1. Listen-Block auf 443 ssl http2 erweitern
-#   2. ssl_certificate / ssl_certificate_key einkommentieren
-#   3. HSTS-Header hinzufügen
-#   4. HTTP->HTTPS-Redirect aktivieren
+# HTTP-only Konfiguration – bewusst so, aktuell übernimmt ein vorgeschalteter
+# Proxy TLS-Terminierung + Domain. Diese Datei bleibt deshalb HTTP-only.
+#
+# Optional (falls der Server künftig OHNE vorgeschalteten Proxy direkt mit
+# eigenem Zertifikat laufen soll): ./setup-tls.sh <domain> auf dem Server
+# ausführen (certbot --nginx, holt Zertifikat + fügt 443-Block automatisch in
+# /etc/nginx/sites-available/timemaster ein, NICHT in dieses Repo-File).
 
 server {
     listen 80;