Enable HTTPS production deployment on Sinbad2 via Apache reverse proxy.

backend/.env.example

@@ -16,10 +16,10 @@
 GOOGLE_CLIENT_ID=tu-client-id.apps.googleusercontent.com
 GOOGLE_CLIENT_SECRET=tu-client-secret
 # URI a la que Google redirige tras el login (debe estar registrada en Google Cloud)
-# Con Docker: suele ser el frontend (8071) porque /api hace proxy al backend
+# Con Docker local: el frontend (8071) hace proxy de /api al backend
 GOOGLE_REDIRECT_URI=http://localhost:8071/api/auth/google/callback
-# Producción (añade la misma URI en Google Console → Credenciales OAuth):
-# GOOGLE_REDIRECT_URI=http://tu-servidor:8071/api/auth/google/callback
+# Producción Sinbad2 (HTTPS vía Apache, prefijo /deckofcards):
+# GOOGLE_REDIRECT_URI=https://sinbad2.ujaen.es/deckofcards/api/auth/google/callback
 
 # Clave para firmar los JWT (usa algo largo y aleatorio en producción)
 SECRET_KEY=cambia-esta-clave-en-produccion
@@ -27,8 +27,14 @@ SECRET_KEY=cambia-esta-clave-en-produccion
 # URL del frontend a la que se redirige tras el login con Google
 # Con docker-compose en local: http://localhost:8071
 # Con Vite directo en local:   http://localhost:5173
-# En producción:               https://tu-dominio.com
-FRONTEND_URL=http://localhost:5173
+# Producción Sinbad2:           https://sinbad2.ujaen.es/deckofcards
+FRONTEND_URL=http://localhost:8071
+
+# Entorno y seguridad HTTPS (producción en Sinbad2)
+# ENVIRONMENT=production
+# CORS_ALLOWED_ORIGINS=https://sinbad2.ujaen.es
+# TRUSTED_HOSTS=sinbad2.ujaen.es,backend,localhost
+# SECURITY_HSTS_SECONDS=31536000
 
 # Verificación de email por código numérico
 # El destinatario puede ser cualquier proveedor (Gmail, Hotmail, Outlook, etc.).