Domain datametric360.app ist registriert

Bei all-inkl angelegt, ohne Webseite und ohne Postfach darauf. Geplante
Adresse der App: https://datametric360.app

Offen bleibt der eigentliche Schritt: die Nameserver muessen bei all-inkl
auf Cloudflare umgestellt werden, sonst kann der Tunnel darunter keinen
Hostnamen veroeffentlichen. Die Alternative, die DNS bei all-inkl zu
belassen, gibt es nur im Business-Tarif fuer 200 USD/Monat. Da auf der
Domain nichts liegt, ist die Umstellung folgenlos.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

COMPANION_APP_ARCHITECTURE.md

@@ -311,12 +311,27 @@ else in this document:
 3. **Reverse-proxy add-on: Nginx Proxy Manager vs. Traefik** — both viable (§4), pick deferred to the
    next audit pass. Doesn't depend on the FMM003 — could be set up and tested against HA's existing API
    before the hardware arrives, if worth doing ahead of time.
-4. **Cloudflare Tunnel domain** — ✅ **DECIDED: `datametric360.app`**, being registered fresh at
+4. **Cloudflare Tunnel domain** — ✅ **ERLEDIGT: `datametric360.app` ist bei all-inkl registriert**
-   all-inkl for this purpose only (no websites, no mail on it). The tunnel will publish a subdomain of
+   (Stand 2026-08-11). Eigens dafür angelegt, ohne Webseite und ohne Postfach darauf — genau so, wie
-   it. Note `.app` is on the HSTS preload list, so browsers force HTTPS on it unconditionally — which
+   es die unten stehende Einschränkung verlangt. Vorgesehene Adresse der App später:
-   suits a Cloudflare Tunnel (always HTTPS) and removes any chance of an accidental plaintext request.
+   `https://datametric360.app`.
 
-   The constraint that drove "register a separate domain rather than reuse an existing one":
+   `.app` steht auf der HSTS-Preload-Liste: Browser erzwingen dort HTTPS bedingungslos. Das passt zum
+   Cloudflare Tunnel (immer HTTPS) und schließt eine versehentliche Klartextverbindung von vornherein
+   aus.
+
+   **Noch offen, und der eigentliche Knackpunkt:** die Nameserver der Domain müssen bei all-inkl auf
+   Cloudflare umgestellt werden („Full setup") — erst dann kann der Tunnel einen Hostnamen darunter
+   veröffentlichen. Die Variante, bei der die DNS-Verwaltung bei all-inkl bliebe („partial/CNAME
+   setup"), gibt es nur im Business-Tarif für 200 $/Monat. Weil auf dieser Domain nichts liegt außer
+   diesem Vorhaben, ist die Umstellung folgenlos.
+
+   Noch zu entscheiden (Kleinigkeit, erst bei der Einrichtung): ob die App unter der Domain selbst
+   liegt und die abgesicherte Schnittstelle unter einer Unteradresse (etwa `api.datametric360.app`),
+   oder umgekehrt. Beides funktioniert; ein getrennter Hostname für die Schnittstelle macht die
+   Pfad-Freigabeliste im Reverse Proxy übersichtlicher.
+
+   Die Einschränkung, die zur eigenen Domain geführt hat:
 
    Cloudflare Tunnel needs the domain's DNS hosted at Cloudflare — i.e. **"Full setup": the domain's
    nameservers get repointed to Cloudflare, moving *all* DNS records for that domain (A, MX/email,