Website und App auf getrennten Domains (craftvia.de / app.craftvia.de)

Der Proxy trennt nach Host, sobald MARKETING_HOST gesetzt ist: craftvia.de zeigt nur die
Produktseiten und leitet Login, Testphase, App und API auf die App-Domain aus AUTH_URL um;
www leitet auf die Hauptdomain; auf der App-Domain landet / ohne Sitzung beim Login und
Produktseiten gehen zurück zur Website. Interne Aufrufe (Healthcheck) bleiben unverändert.
Links bleiben relativ, damit keine Domain im Image steckt.

Dazu Test scripts/test-host-routing.ts, Env-Vorlagen mit MARKETING_HOST und Registry,
scripts/generate-coolify-env.sh für lokal erzeugte Geheimnisse und DEPLOY.md §2.1.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

.env.coolify.example

@@ -22,6 +22,10 @@ RLS_ENFORCED=false
 # und ist deshalb NICHT separat zu setzen (in Coolify sonst als „managed" gesperrt).
 REDIS_PASSWORD=CHANGE_ME_redis_password
 
+# --- Fertige Images (docker-compose.coolify.prebuilt.yml, DEPLOY.md §9) ---
+REGISTRY=git.certvia.de/msolarczek
+IMAGE_TAG=main
+
 # --- Objektspeicher (Service "garage", S3-kompatibel) ---
 # Garage ersetzt MinIO (Community EOL). Buckets/Keys legt NICHT die S3-API an, sondern
 # der Init-Job "garage-provision" (Admin-API). S3_ACCESS_KEY/S3_SECRET_KEY sind der
@@ -60,7 +64,11 @@ AUTH_SECRET=CHANGE_ME_openssl_rand_base64_32
 # PASSWORD_PEPPER (Härtung §1): openssl rand -hex 32 — frisch je Umgebung, NICHT rotierbar, nie ins Artefakt.
 PASSWORD_PEPPER=CHANGE_ME_openssl_rand_hex_32
 # MFA_ENC_KEY=   (leer = aus AUTH_SECRET abgeleitet; nach dem Setzen nicht mehr ändern)
-AUTH_URL=http://REPLACE-WITH-COOLIFY-SSLIP-DOMAIN
+AUTH_URL=https://app.craftvia.de
+# Website und App auf getrennten Domains (src/lib/marketing/hosts.ts): craftvia.de zeigt nur die
+# Produktseiten, AUTH_URL-Domain die App. Beide Domains in Coolify beim Service "app" eintragen.
+# Leer = alles auf einer Domain.
+MARKETING_HOST=craftvia.de
 # Hinter Reverse-Proxy (Coolify/Traefik) für Auth.js v5 zwingend, sonst UntrustedHost:
 AUTH_TRUST_HOST=true