docs: HTTPS_ENABLED-Flag in Erledigt-Liste dokumentieren

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

docs/todo.md

@@ -97,6 +97,12 @@ isolierte Instanz (keine Multi-Tenancy im Code), Provisioning + Abrechnung
 
 ## ✅ Erledigt
 
+- [x] **🔒 HTTPS-only-Header per Flag (`HTTPS_ENABLED`)**
+  - HSTS + `upgrade-insecure-requests` (CSP) sperrten den Browser bei
+    direktem `http://ip:port`-Zugriff aus (`ERR_SSL_PROTOCOL_ERROR`).
+  - Beide Header default OFF, kommen nur mit `HTTPS_ENABLED=true` (sobald
+    TLS-Reverse-Proxy davor steht).
+
 - [x] **🗃️ Prisma-Migrations-System (statt `db push`)**
   - Initial-Migration `0_init` aus aktuellem Schema generiert
     (`prisma migrate diff --from-empty --to-schema-datamodel`).