docs: README und .env.example auf den Stand -- und Embeds im Stil des Bots

DIE README BESCHRIEB NOCH DEN VORGAENGER: "Fivemanage Lite mit MySQL und
MinIO", Ausprobieren ueber docker-compose.local.yml, vier Geheimnisse, davon
drei fuer Dienste, die es nicht mehr gibt. Jetzt beschreibt sie, was da ist:
ein Container, SQLite, Dateien auf einer Platte -- Starten, was der Dienst
kann, die eine Regel und wie sie im Code durchgesetzt wird, Betrieb (Sicherung,
Wiki, Zurueckspielen), was bewusst fehlt, und die zwei Dinge, die Zeit gekostet
haben.

Und die .env.example nannte DB_PASSWORD, MINIO_ROOT_PASSWORD und
API_TOKEN_HMAC_SECRET -- drei Werte fuer Dienste, die seit Wochen weg sind, und
KEINEN der acht, die das Compose wirklich liest. Nachgezaehlt: jetzt sind alle
acht genannt, zwei als Pflicht, sechs als Optional mit dem Grund dahinter.

EMBEDS IM STIL DES BOTS. Auf den Hinweis hin in d4rkbot/src/embeds.js
nachgesehen: dort gibt es eine zentrale Embed-Fabrik mit Markenfarbe
(#f5c518), Fusszeile "D4RKST3R // <TAG>" und Zeitstempel. Zwei Dienste
desselben Hauses sollen in einem Kanal nicht wie zwei Fremde aussehen -- also
uebernommen statt neu erfunden, samt Feldern statt Fliesstext und Discords
Zeitmarken (<t:...:R>), die "vor 3 Stunden" in der Zeitzone des Lesers
anzeigen.

EINE ABWEICHUNG, mit Absicht: der Bot faerbt alles in der Markenfarbe, hier
faerbt die SCHWERE. Eine Warnung, die aussieht wie jede andere Nachricht, ist
eine Warnung, die man ueberliest -- und diese Meldungen gibt es nur, weil
jemand sie sehen soll.

Die Testnachricht schickt jetzt echte Zahlen mit. So sieht man nicht nur, DASS
etwas ankommt, sondern auch, ob es lesbar ist.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

.env.example

@@ -1,31 +1,74 @@
-# Fivemanage Lite — Geheimnisse und Adressen
+# d4rk_media — die Werte fuer den Betrieb.
 #
-# Diese Datei ist die VORLAGE. Kopiere sie nach .env und trag echte Werte ein.
+# Diese Datei ist die VORLAGE. Kopiere sie nach .env und trag echte Werte ein;
 # .env selbst gehoert nicht ins Repo (siehe .gitignore).
 #
-# In Portainer traegst du dieselben Werte stattdessen als Stack-Variablen ein;
-# dann braucht es die Datei dort gar nicht.
+# In Portainer traegst du dieselben Werte als STACK-VARIABLEN ein — dann
+# braucht es die Datei dort gar nicht.
 #
-# Erzeugen:
-#   openssl rand -hex 16     DB_PASSWORD, MINIO_ROOT_PASSWORD
-#   openssl rand -hex 32     API_TOKEN_HMAC_SECRET   (muss 32 Byte sein)
-#   openssl rand -hex 12     ADMIN_PASSWORD
+# Nur zwei sind Pflicht. Der Rest hat brauchbare Standards, und der Dienst
+# BRICHT AB, wenn eine der beiden fehlt: einer, der ohne Konfiguration
+# hochfaehrt, kostet mehr Zeit als einer, der sich weigert.
 
-DB_PASSWORD=
-MINIO_ROOT_PASSWORD=
-API_TOKEN_HMAC_SECRET=
+# ------------------------------------------------------------------- Pflicht
+
+# Der Ursprung, unter dem der Dienst oeffentlich steht — OHNE Pfad und ohne
+# abschliessenden Schraegstrich.
+#
+# Das /f/ haengt der Dienst selbst an. Wer es hier mitschreibt, bekommt
+# Adressen mit /f/f/, und das faellt erst auf, wenn das erste Bild fehlt.
+PUBLIC_URL=https://fivemanage.d4rkst3r.de
+
+# Wird beim ERSTEN Start als Benutzer "admin" angelegt. Ein spaeter geaenderter
+# Wert setzt das bestehende Passwort NICHT zurueck.
+#
+#   openssl rand -base64 24
 ADMIN_PASSWORD=
 
-# Unter welcher Adresse die Dateien oeffentlich liegen. Ohne sie liefert MinIO
-# Links auf den internen Containernamen aus — die gehen von aussen ins Leere.
-PUBLIC_URL=https://fivecdn.d4rkst3r.de
+# ------------------------------------------------------------------ Optional
 
-# Das Docker-Netz, in dem der bestehende Reverse Proxy haengt.
+# Der Name des Benutzers, der beim ersten Start entsteht.
+#ADMIN_USERNAME=admin
+
+# Host-Port. Auf diesem Server zeigt der NPM-Eintrag auf 9101.
 #
-# Wird NUR gebraucht, wenn du docker-compose.proxynet.yml dazunimmst. Beim Weg
-# ueber host.docker.internal (docker-compose.hostports.yml) ist es
-# gegenstandslos.
+# Belegt sind hier 80, 81, 443, 2224, 3000, 3080, 3478, 8000, 8080, 8443, 8090,
+# 9000, 9443, 11000. Nur die LINKE Zahl einer Portabbildung muss einmalig sein.
+#HOST_PORT=9101
+
+# An welche Adresse der Port gebunden wird.
 #
-# `docker network ls` zeigt die Namen. Auf diesem Server heisst es
-# wahrscheinlich `web` — ein Bridge-Netz ohne Stack.
-PROXY_NETWORK=web
+# 0.0.0.0 und NICHT 127.0.0.1: der Reverse Proxy kommt ueber die Docker-Bruecke
+# herein, nicht ueber Loopback. Ein an 127.0.0.1 gebundener Port naehme die
+# Anfrage nicht an. Zu macht ihn die Firewall, nicht die Bindung.
+#BIND_ADDR=0.0.0.0
+
+# ZWEI NAMEN statt einem: hier den Hostnamen eintragen, unter dem es dann
+# ausschliesslich Dateien gibt — kein Dashboard, keine API, nichts anzumelden.
+# Die URLs kommen dann ohne /f/ aus, und PUBLIC_URL ist der Datei-Name. Beide
+# Namen muessen im Proxy auf diesen Port zeigen.
+#
+# Leer (Standard) heisst: EIN Name, Dateien unter /f/.
+#FILES_HOST=
+
+# Groesste erlaubte Datei. Ein freigestelltes Fahrzeugbild wiegt rund 130 KB;
+# 64 MB lassen Luft fuer Videos, ohne dass ein Fehlgriff die Platte fuellt.
+#
+# Je Token laesst sich das im Dashboard weiter einschraenken.
+#MAX_UPLOAD_MB=64
+
+# Wie lange eine Anmeldung im Dashboard haelt.
+#SESSION_DAYS=30
+
+# ------------------------------------------------------------------- Hinweis
+#
+# NODE_ENV steht fest auf "production" im Compose und setzt das Sitzungs-Cookie
+# auf Secure. Hinter dem Proxy mit TLS ist das richtig.
+#
+# WER OHNE HTTPS AUSPROBIERT, SPERRT SICH AUS: die Anmeldung antwortet mit 200,
+# der Browser verwirft das Cookie still, und die naechste Anfrage ist 401. Die
+# naheliegende Gegenprobe ueber http://localhost fuehrt in die Irre — das gilt
+# Browsern als sicherer Kontext und funktioniert.
+#
+# Discord-Anmeldung, Sicherung und Meldungen stehen NICHT hier, sondern im
+# Dashboard unter Einstellungen.