Timer-App unter Versionsverwaltung stellen

Stand der laufenden Anwendung von 192.168.1.5:/opt/timer-app (systemd-Dienst
timer-app, Port 3003). Zeiterfassung mit Kostenberechnung: Node/Express,
SQLite, Anmeldung ausschliesslich ueber Authentik (OIDC, PKCE, RP-Logout) -
der frueher vorhandene Passwort-Login ist entfernt.

Nicht im Repo, bewusst:
- backend/.env und die .env-Sicherung: enthalten Session-Secret und die
  Authentik-Zugangsdaten. Vorlage ist backend/.env.example.
- data/: die Datenbank mit den echten Zeiterfassungen.
- node_modules/.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

deploy/nginx.conf.example

@@ -0,0 +1,55 @@
+# nginx - Beispiel für die Timer App
+#
+# Bei dieser Variante in der .env:
+#   HOST=127.0.0.1
+#   TRUST_PROXY=1
+#   COOKIE_SECURE=true
+
+server {
+    listen 80;
+    server_name timer.firma.example;
+    return 301 https://$host$request_uri;
+}
+
+server {
+    listen 443 ssl http2;
+    server_name timer.firma.example;
+
+    ssl_certificate     /etc/letsencrypt/live/timer.firma.example/fullchain.pem;
+    ssl_certificate_key /etc/letsencrypt/live/timer.firma.example/privkey.pem;
+
+    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+    add_header X-Frame-Options "SAMEORIGIN" always;
+    add_header X-Content-Type-Options "nosniff" always;
+    add_header Referrer-Policy "no-referrer" always;
+
+    # CSV-Export darf auch bei vielen Einträgen dauern
+    client_max_body_size 1m;
+    proxy_read_timeout 120s;
+
+    location / {
+        proxy_pass http://127.0.0.1:3003;
+        proxy_http_version 1.1;
+
+        proxy_set_header Host              $host;
+        proxy_set_header X-Real-IP         $remote_addr;
+        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
+        # Ohne diese Zeile hält die App die Verbindung für unverschlüsselt
+        # und das secure-Cookie kommt nicht zustande:
+        proxy_set_header X-Forwarded-Proto $scheme;
+    }
+}
+
+# ---------------------------------------------------------------------------
+# Variante ohne TLS, rein intern (z. B. http://timer.intern):
+# Dann in der .env COOKIE_SECURE=false setzen, sonst scheitert der Login stumm.
+#
+# server {
+#     listen 80;
+#     server_name timer.intern;
+#     location / {
+#         proxy_pass http://127.0.0.1:3003;
+#         proxy_set_header Host $host;
+#         proxy_set_header X-Forwarded-Proto $scheme;
+#     }
+# }