Domain auf datametric360.de umgestellt (war .app)

Alle Referenzen in Doku und Code aktualisiert (REVERSE_PROXY.md,
INTERNET_ZUGRIFF_EINRICHTEN.md, COMPANION_APP_ARCHITECTURE.md, AGENTS.md,
UMSETZUNGSPLAN.md, companion-app/src/api/umgebung.ts-Kommentar). Dabei den
.app-spezifischen HSTS-Preload-Hinweis in COMPANION_APP_ARCHITECTURE.md §5.4
korrigiert - gilt für .de nicht, Force-SSL in Nginx Proxy Manager deckt das
weiterhin ab. UMSETZUNGSPLAN.md Phase 12 zusätzlich mit einem
Aktualisierungshinweis versehen (zwei-Hostnamen-Plan und pyscript-Namen dort
waren ohnehin schon überholt, jetzt klar auf REVERSE_PROXY.md/
INTERNET_ZUGRIFF_EINRICHTEN.md als maßgeblich verwiesen).

Co-Authored-By: Claude Sonnet 5 <[email protected]>

COMPANION_APP_ARCHITECTURE.md

@@ -1,7 +1,7 @@
 # DataMetric360 — Companion App Architecture (design decided, not yet built)
 
 **App name: `DataMetric360`** (decided 2026-08-10). Public hostname: a subdomain of
-**`datametric360.app`**,
+**`datametric360.de`**,
 a dedicated domain registered at all-inkl solely for this purpose (see §5.4 for why it must be a
 separate domain). Both the app name and the domain are deliberately neutral — they don't advertise
 "Audi", "car", or "GPS tracker" to anyone who sees the hostname or the app icon, which is a small but
@@ -402,14 +402,19 @@ else in this document:
    picked and is what `homeassistant/REVERSE_PROXY.md` and `INTERNET_ZUGRIFF_EINRICHTEN.md` are written
    against. Setup itself (Cloudflare account, nameserver switch, add-on installation) is still the
    owner's own action to perform — see the runbook for the exact steps.
-4. **Cloudflare Tunnel domain** — ✅ **ERLEDIGT: `datametric360.app` ist bei all-inkl registriert**
-   (Stand 2026-08-11). Eigens dafür angelegt, ohne Webseite und ohne Postfach darauf — genau so, wie
-   es die unten stehende Einschränkung verlangt. Vorgesehene Adresse der App später:
-   `https://datametric360.app`.
+4. **Cloudflare Tunnel domain** — ✅ **ERLEDIGT: `datametric360.de` ist bei all-inkl registriert**
+   (ursprünglich `.app`, seither auf `.de` umgestellt — Stand 2026-08-28). Eigens dafür angelegt, ohne
+   Webseite und ohne Postfach darauf — genau so, wie es die unten stehende Einschränkung verlangt.
+   Vorgesehene Adresse der App später: `https://datametric360.de`.
 
-   `.app` steht auf der HSTS-Preload-Liste: Browser erzwingen dort HTTPS bedingungslos. Das passt zum
-   Cloudflare Tunnel (immer HTTPS) und schließt eine versehentliche Klartextverbindung von vornherein
-   aus.
+   **Korrektur 2026-08-28:** die ursprüngliche `.app`-Wahl hatte einen zusätzlichen Vorteil, der mit dem
+   Wechsel auf `.de` entfällt — `.app` steht auf Chromes HSTS-Preload-Liste, `.de` nicht, der Browser
+   erzwingt dort also nicht von sich aus HTTPS ohne vorherigen Kontakt zur Domain. Das ändert nichts an
+   der Sicherheit dieses Aufbaus: Cloudflare Tunnel liefert ohnehin ausschließlich HTTPS aus, und Nginx
+   Proxy Manager kann zusätzlich "Force SSL" erzwingen (siehe `INTERNET_ZUGRIFF_EINRICHTEN.md` Schritt
+   4) - nur der zusätzliche, browserseitig *vorab* erzwungene Schutz vor dem allerersten Verbindungs-
+   aufbau (bevor die App überhaupt einmal erfolgreich verbunden war) entfällt. Für ein sideload-only
+   installiertes, nicht öffentlich beworbenes Gerät eine vernachlässigbare Einbuße.
 
    **Noch offen, und der eigentliche Knackpunkt:** die Nameserver der Domain müssen bei all-inkl auf
    Cloudflare umgestellt werden („Full setup") — erst dann kann der Tunnel einen Hostnamen darunter
@@ -420,7 +425,7 @@ else in this document:
    ✅ **ERLEDIGT (2026-08-28): ein einziger Hostname genügt**, kein Split nötig. Der ursprüngliche
    Gedanke (App-Domain vs. API-Subdomain) setzte voraus, dass die App selbst als Web-Build unter einer
    eigenen Adresse ausgeliefert würde — das wurde nie gebaut (Distribution blieb nativ/sideload, §1).
-   Es gibt nur eine Adresse, die überhaupt gebraucht wird: `https://datametric360.app`, die die App
+   Es gibt nur eine Adresse, die überhaupt gebraucht wird: `https://datametric360.de`, die die App
    sowohl für API-Aufrufe als auch für ihr eigenes OTA-Bündel verwendet (siehe §5 Punkt 1 oben,
    `homeassistant/REVERSE_PROXY.md`).
 
@@ -433,7 +438,7 @@ else in this document:
    ($200/month)**, i.e. not realistic here.
 
    **Therefore: never point this at an existing all-inkl domain carrying live websites or email** —
-   hence the dedicated `datametric360.app`. Nothing about the owner's existing domains/mail is touched.
+   hence the dedicated `datametric360.de`. Nothing about the owner's existing domains/mail is touched.
 
    Note the all-inkl "Neue Domain anlegen" dialog asks for a target (Webspace / Redirect /
    Webbaukasten) — that choice is irrelevant here, since DNS gets delegated to Cloudflare afterwards