diff --git a/.env.example b/.env.example
index a3e12e6..ea84214 100644
--- a/.env.example
+++ b/.env.example
@@ -176,7 +176,28 @@ TRUSTED_RANGES=10.66.0.0/24,127.0.0.1
 # sind NETTO; die Oberfläche weist beides aus.
 CLUPILOT_TAX_PERCENT=20
 
-ADMIN_HOSTS=admin.dev.clupilot.com,10.10.90.185,localhost,127.0.0.1
+# ── Wo die Konsole antwortet ─────────────────────────────────────────────
+#
+# ADMIN_HOSTS: Hostnamen, unter denen die Konsole erreichbar ist. Der ERSTE
+# ist der kanonische — für ihn werden URLs erzeugt; die weiteren sind
+# Ausweichadressen, über die jemand hereinkommt, der ausgesperrt ist.
+#
+# ADMIN_HOST_EXCLUSIVE: darf auf diesen Namen NUR die Konsole antworten?
+#
+#   true   Die Konsole liegt an der WURZEL ihres Hostnamens
+#          (https://admin.…/), und Portal wie Website antworten dort mit 404.
+#          Dann gehört hier ausschliesslich der Konsolen-Name hinein — eine
+#          IP oder localhost mit aufzunehmen schaltet Portal und Website auf
+#          genau dieser Adresse ab. Das ist die Betriebsform.
+#
+#   false  Die Konsole liegt unter /admin auf jedem gelisteten Namen, und
+#          diese Namen bedienen weiterhin auch Portal und Website. Nur für
+#          eine Maschine ohne eigene DNS-Namen sinnvoll.
+#
+# Ohne Eintrag gilt false — dann zeigt https://admin.…/ das PORTAL, nicht die
+# Konsole, und das sieht wie ein Fehler aus, obwohl es die Vorgabe ist.
+ADMIN_HOSTS=admin.dev.clupilot.com
+ADMIN_HOST_EXCLUSIVE=true
 
 # ── Nextcloud blueprint template ─────────────────────────────────────────
 # NOT an env var: set the Proxmox template VMID per plan in