Document that the console host has to be exclusive to be the console

Without ADMIN_HOST_EXCLUSIVE the default is false, and https://admin.…/
then serves the PORTAL. That reads as a fault and is not one, so the
example file now says which setting decides it and why the host list must
hold nothing but the console's own name once it is on.

.env.example

@@ -176,7 +176,28 @@ TRUSTED_RANGES=10.66.0.0/24,127.0.0.1
 # sind NETTO; die Oberfläche weist beides aus.
 CLUPILOT_TAX_PERCENT=20
 
-ADMIN_HOSTS=admin.dev.clupilot.com,10.10.90.185,localhost,127.0.0.1
+# ── Wo die Konsole antwortet ─────────────────────────────────────────────
+#
+# ADMIN_HOSTS: Hostnamen, unter denen die Konsole erreichbar ist. Der ERSTE
+# ist der kanonische — für ihn werden URLs erzeugt; die weiteren sind
+# Ausweichadressen, über die jemand hereinkommt, der ausgesperrt ist.
+#
+# ADMIN_HOST_EXCLUSIVE: darf auf diesen Namen NUR die Konsole antworten?
+#
+#   true   Die Konsole liegt an der WURZEL ihres Hostnamens
+#          (https://admin.…/), und Portal wie Website antworten dort mit 404.
+#          Dann gehört hier ausschliesslich der Konsolen-Name hinein — eine
+#          IP oder localhost mit aufzunehmen schaltet Portal und Website auf
+#          genau dieser Adresse ab. Das ist die Betriebsform.
+#
+#   false  Die Konsole liegt unter /admin auf jedem gelisteten Namen, und
+#          diese Namen bedienen weiterhin auch Portal und Website. Nur für
+#          eine Maschine ohne eigene DNS-Namen sinnvoll.
+#
+# Ohne Eintrag gilt false — dann zeigt https://admin.…/ das PORTAL, nicht die
+# Konsole, und das sieht wie ein Fehler aus, obwohl es die Vorgabe ist.
+ADMIN_HOSTS=admin.dev.clupilot.com
+ADMIN_HOST_EXCLUSIVE=true
 
 # ── Nextcloud blueprint template ─────────────────────────────────────────
 # NOT an env var: set the Proxmox template VMID per plan in