fix: an alle Adressen binden, sonst erreicht NPM die Dienste nicht

Ich hatte die Ports an 127.0.0.1 gebunden — enger und auf den ersten Blick
richtiger. Nur erreicht host.docker.internal das auf diesem Server nicht: die
Anfrage kommt aus dem NPM-Container ueber die Docker-Bruecke herein, nicht
ueber Loopback, und ein an 127.0.0.1 gebundener Port nimmt sie nicht an.

Der Beleg stand die ganze Zeit in der Containerliste: d4rkbot (3080),
cdn-files (8090) und portainer sind alle ohne 127.0.0.1-Praefix
veroeffentlicht, und NPM erreicht sie. So laeuft es hier, also laeuft es so.

Damit macht die FIREWALL den Port zu und nicht die Bindung — das steht jetzt
ausdruecklich in beiden Dateien, mitsamt den Befehlen zum Nachsehen. Wer weiss,
dass Loopback bei ihm erreicht wird, setzt BIND_ADDR=127.0.0.1.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

README.md

@@ -88,9 +88,15 @@ nextcloud-aio). Im Container bleibt es bei 9000 und 8080; nur die Seite zum
 Host wandert. Kollidiert später noch etwas, sind es zwei Variablen:
 `MINIO_HOST_PORT` und `LITE_HOST_PORT`.
 
-Die Ports sind an `127.0.0.1` gebunden, also vom Internet aus zu. Ob
-`host.docker.internal` das erreicht, hängt an der Docker-Fassung — in
-`docker-compose.hostports.yml` steht, was dann zu tun ist.
+Die Ports sind an **alle Adressen** gebunden, weil `host.docker.internal` auf
+diesem Server über die Docker-Brücke kommt und ein `127.0.0.1`-Port die
+Anfrage nicht annähme — dieselbe Bindung, mit der `d4rkbot` und `cdn-files`
+schon laufen.
+
+**Damit macht die Firewall den Port zu, nicht die Bindung.** 9100 und 9101
+gehören von außen dicht; öffentlich erreichbar soll nur NPM auf 80 und 443
+sein. Wer weiß, dass Loopback bei ihm erreicht wird, setzt
+`BIND_ADDR=127.0.0.1`.
 
 ---