Clean up compose metadata and placeholders

apps/immich/docker-compose.yml

@@ -1,5 +1,3 @@
-version: "3.9"
-
 services:
   immich-server:
     container_name: immich_server

apps/mail-archiver/docker-compose.yml

@@ -1,4 +1,3 @@
-version: "3.9"
 services:
   mail-archiver:
     image: s1t5/mailarchiver@sha256:94d7525db56b13154a14203f8fb7b53fac034f28a914c32da9d2e426b49328ed

apps/paperless/docker-compose.yml

@@ -1,5 +1,3 @@
-version: "3.9"
-
 services:
   paperless:
     image: ghcr.io/paperless-ngx/paperless-ngx:2.20.10@sha256:07a0b4ba01ce377c82a0636e16c0c3d931fde5b7e9304de6601986cc42d9b6e6

docs/MIGRATION_LOG.md

@@ -16,6 +16,12 @@ Dieses Dokument ist nur noch ein historischer Verlauf. Der aktuelle operative Ab
 
 ## Historische Meilensteine
 
+### 2026-05-05 - N-Aufraeum-Sprint
+
+- Obsolete Compose-Top-Level-Felder `version: "3.9"` aus Immich, Mail Archiver und Paperless entfernt.
+- Leere `env/domains.env.example` und `env/global.env.example` mit nicht geheimen Beispielwerten gefuellt.
+- Veraltete `.keep`-Platzhalter aus Verzeichnissen mit echten Compose-/Repo-Inhalten sowie zwei reine Geister-Verzeichnisse (`host-services/plex`, `infra/dns`) entfernt.
+
 ### 2026-05-05 - M3b versionierte App-Images digest-gepinnt
 
 - Versionierte Nicht-Komodo-Images fuer BentoPDF, Mealie, Paperless, Paperless-GPT, AdGuard Home, Grafana, InfluxDB 3 Core und Traefik auf die am Host laufenden, manifest-validierten Digests gepinnt.

docs/REPO_MAP.md

@@ -13,7 +13,7 @@ Secret-Werte werden hier nicht dokumentiert. Aufgefuehrt werden nur Variablennam
 | `apps/` | Produktive Anwendungen und vorbereitete App-Stacks |
 | `core/` | Basisdienste, aktuell Gitea |
 | `docs/` | Betriebsdokumentation, Restore, Rollback, GitOps-Regeln |
-| `env/` | globale Beispiel-Env-Dateien, aktuell leer |
+| `env/` | globale nicht geheime Beispiel-Env-Dateien |
 | `host-services/` | Host-nahe Dienste mit direkten Ports oder Host-Netz |
 | `infra/` | technische Infrastruktur wie PostgreSQL, Redis, DDNS |
 | `ops/` | Operations-, Backup-, Monitoring- und Admin-Tools |
@@ -225,5 +225,6 @@ Das Skript liest Secret-Dateien auf dem Host und schreibt Dump-Artefakte. Bei An
 - `scrutiny` bleibt `privileged: true`; dokumentierte Ausnahme, aber weiterhin pruefenswert.
 - `tailscale` nutzt Host-Netz, `NET_ADMIN`, `NET_RAW` und `/dev/net/tun` als dokumentierte VPN-Ausnahme.
 - `grafana` und `influxdb3-core` laufen aktuell als `user: "0"`; UID/GID-Hardening nur als eigener Sprint.
+- Leere `.keep`-Platzhalter wurden entfernt; neue Verzeichnisse sollen erst mit konkretem Inhalt ins Repo.
 - `Plex-Media-Server` ist als historischer Host-Sonderfall dokumentiert, aber nicht als Repo-Compose-Stack enthalten.
 - BentoPDF kann je nach Live-Stand vorbereitet statt produktiv sein; Hermes Dashboard ist produktiv unter `hermes.kaleschke.info`.

env/domains.env.example

@@ -0,0 +1,4 @@
+BASE_DOMAIN=kaleschke.info
+TRAEFIK_DOMAIN=traefik.kaleschke.info
+AUTH_DOMAIN=auth.kaleschke.info
+HOME_DOMAIN=home.kaleschke.info

env/global.env.example

@@ -0,0 +1,3 @@
+TZ=Europe/Berlin
+PUID=99
+PGID=100