Document HTTPS registry authentication configuration [skip ci]

REGISTRY.md

@@ -28,6 +28,23 @@ Ein bereits vorhandenes Secret bleibt unverändert. Der Workflow kann alternativ
 
 Gitea-Pakete gehören einem Benutzer/einer Organisation. Sichtbarkeit nach dem ersten Publish prüfen und Pakete bei Bedarf mit `jf/taskmanager` verknüpfen. Private Images erfordern beim Deployment einen separaten Token mit `read:package`. Dokumentation: [Gitea Container Registry](https://docs.gitea.com/usage/packages/container/).
 
+### Gitea hinter einem HTTPS-Proxy
+
+Gitea muss seine **externe** URL kennen. In `app.ini`:
+
+```ini
+[server]
+ROOT_URL = https://git.jfritzsche.de/
+```
+
+Alternativ im Gitea-Container `GITEA__server__ROOT_URL=https://git.jfritzsche.de/` setzen und Gitea neu starten. Der interne Listener darf weiterhin HTTP auf Port 3000 verwenden. HTTPS am Proxy allein korrigiert nicht automatisch die Registry-Token-URL.
+
+```bash
+curl -sS -D - -o /dev/null https://git.jfritzsche.de/v2/
+```
+
+Ohne Anmeldung ist HTTP 401 normal. Der `WWW-Authenticate`-Header muss als Bearer-Realm **`https://git.jfritzsche.de/v2/token`** nennen. Ein HTTP-Realm kann den Upload mit `authorization server did not include a token in the response` scheitern lassen, obwohl `docker login` erfolgreich erschien. Keine HTTP-/TLS-Ausnahmen als Ersatz einrichten. Nach Korrektur den fehlgeschlagenen `publish`-Job erneut starten; dafür weder einen Release-Tag verschieben noch die Anwendung neu versionieren.
+
 ### Neues Release erstellen
 
 ```bash