feat: Authelia SSO stack for auth.schwenk.online

Compose + Traefik ForwardAuth middleware, Redis sessions, SMTP via 0012.de, TOTP and ACL for consumer apps (e.g. pi.schwenk.online).

Co-authored-by: Cursor <cursoragent@cursor.com>

SOUL.md

@@ -0,0 +1,45 @@
+# SOUL.md — Project Character
+
+## Product Name
+
+`auth.schwenk.online` (Authelia)
+
+## One-Liner
+
+SSO- und 2FA-Portal für Subdomains unter `schwenk.online`, angebunden an Traefik ForwardAuth auf boka.
+
+## Vision
+
+Eine zentrale Authelia-Instanz, die zukünftige (und ausgewählte) Projekte hinter Login + TOTP schützen — ohne pro App eigene Auth zu bauen.
+
+## Audience
+
+Fränky (Admin); später ggf. weitere User in der File-DB. Consumer-Projekte (z.B. pi.schwenk.online) hängen nur Middleware-Labels an.
+
+## Tone & Wording
+
+- **Voice:** klar, operativ, kein Marketing
+- **Formality:** du
+- **Error messages:** ehrlich und handlungsfähig (Authelia-Defaults meist ok)
+
+## Non-Goals
+
+- Kein Identity Provider für externe Kunden / Multi-Tenant-SaaS
+- Kein Ersatz für App-eigene User-Accounts (nur Edge-Auth vor dem Proxy)
+- Kein Anfassen von Traefik/Gitea/Immich/Portainer in diesem Repo
+- Kein LDAP (File-Backend reicht)
+
+## Project-Specific Rules
+
+- Secrets nur in `.env` / `secrets/` auf dem Server — nie committen
+- SMTP über 0012.de-Plesk (siehe README) — Passwort aus 0012 `server.env` kopieren
+- Middleware-Referenz für Consumer: `authelia@docker`
+- ACL: neue geschützte Hosts hier ergänzen (`two_factor` o.ä.), Middleware setzt das App-Repo
+
+## Infrastructure (project-local)
+
+- Workdir lokal: `/home/frank/authschwenkonline`
+- Deploy auf boka: `/home/frank/auth.schwenk.online`
+- Domains: `auth.schwenk.online` (Portal), optional `whoami-auth.schwenk.online` (Smoke)
+- Docker: external network `traefik`; certresolver `myresolver`; entrypoint `websecure`
+- Git: Gitea `gitea.schwenk.online` (Repo anlegen bei Bedarf)