Respektovat X-Forwarded-For za reverzní proxí (Nginx Proxy Manager)

Bez TRUST_PROXY_HEADERS=true by rate limiting viděl u každého požadavku
IP proxy místo skutečného návštěvníka a limit by se sdílel napříč všemi
uživateli. Přidán i návod na zapojení do Nginx Proxy Manageru v README.

.env.example

@@ -30,3 +30,10 @@ REG_PASSWORD_MAX=16
 # Kolik pokusů o registraci povolit z jedné IP v daném časovém okně (vteřiny)
 REG_RATE_LIMIT_MAX=5
 REG_RATE_LIMIT_WINDOW=3600
+
+# --- Reverzní proxy (Nginx Proxy Manager, Cloudflare, ...) ---
+# Nastav na "true" JEN pokud je tenhle web dostupný z internetu výhradně
+# přes reverzní proxy (Apache/PHP-FPM port není veřejně dosažitelný přímo).
+# Jinak si útočník IP jednoduše vymyslí přes hlavičku a rate limiting/logy
+# přestanou dávat smysl.
+TRUST_PROXY_HEADERS=false