feat: enhance deployment configuration for secure Web UI with Traefik integration

Added support for a secure Web UI using Traefik with Let's Encrypt and Cloudflare DNS challenge. Updated docker-compose files to include new service definitions and environment variables for configuration. Improved documentation to guide users in setting up the secure UI environment.

docs/quickstart.md

@@ -109,35 +109,57 @@ docker compose --profile microvps down -v
 
 Из каталога `deploy\compose` (как в варианте 1: `.env` из `.env.example`, при необходимости `docker login git.shts.su`):
 
+1. Подготовьте отдельный файл параметров защищенного UI:
+
+```powershell
+Copy-Item .env.web-sec.example .env.web-sec -Force
+```
+
+2. Заполните в `.env.web-sec`:
+- `WEBUI_DOMAIN` — домен панели;
+- `WEBUI_IP_WHITELIST` — список разрешенных IP/CIDR через запятую;
+- `LETSENCRYPT_EMAIL` — email для ACME;
+- `CF_DNS_API_TOKEN` — Cloudflare token для `DNS challenge` (минимальные права `Zone:DNS:Edit` на нужной зоне).
+
+3. В Cloudflare для `WEBUI_DOMAIN` используйте запись в режиме **DNS only** (серый облачок), указывающую на публичный IP VPS.
+
+4. Запускайте compose с двумя env-файлами:
+
 ```powershell
 # С ужатыми лимитами и EVOBGP_BROKER_URL=nats://… (ориентир под ~1 ГиБ RAM на хосте)
-docker compose -f docker-compose.yaml -f docker-compose.microvps-full.yaml --profile microvps-full pull
-docker compose -f docker-compose.yaml -f docker-compose.microvps-full.yaml --profile microvps-full up -d
+docker compose --env-file .env --env-file .env.web-sec -f docker-compose.yaml -f docker-compose.microvps-full.yaml --profile microvps-full pull
+docker compose --env-file .env --env-file .env.web-sec -f docker-compose.yaml -f docker-compose.microvps-full.yaml --profile microvps-full up -d
 ```
 
 Только профиль `microvps-full` и **без** файла `docker-compose.microvps-full.yaml` (лимиты как в базовом compose, без принудительной подстановки брокера в `evobgp-all`):
 
 ```powershell
-docker compose --profile microvps-full pull
-docker compose --profile microvps-full up -d
+docker compose --env-file .env --env-file .env.web-sec --profile microvps-full pull
+docker compose --env-file .env --env-file .env.web-sec --profile microvps-full up -d
 ```
 
 При необходимости задайте брокер вручную для `evobgp-all` (override или `.env` рядом с compose): `EVOBGP_BROKER_URL=nats://nats:4222`.
 
 | Порт | Назначение |
 |------|------------|
-| **3000** | Web UI (nginx → API под капотом) |
+| **80** | HTTP вход (редирект на HTTPS через Traefik) |
+| **443** | HTTPS Web UI (Traefik + Let's Encrypt) |
 | **8080** | Прямой HTTP API (`evobgp-all`) |
 | **9090** | Prometheus (`prometheus-microvps`) |
 | **4222** | NATS |
 | **179** | BGP (BIRD2), как в варианте 1 |
 
-Проверка UI: откройте `http://<IP-вашей-VPS>:3000`. Health API: `http://<IP>:8080/v1/health`.
+Проверка UI:
+- `http://<WEBUI_DOMAIN>` должен редиректить на `https://<WEBUI_DOMAIN>`;
+- с IP из `WEBUI_IP_WHITELIST` UI доступен по HTTPS;
+- с неразрешенного IP Traefik вернет `403`.
+
+Health API: `http://<IP>:8080/v1/health`.
 
 Остановка (если поднимали с двумя `-f`):
 
 ```powershell
-docker compose -f docker-compose.yaml -f docker-compose.microvps-full.yaml --profile microvps-full down
+docker compose --env-file .env --env-file .env.web-sec -f docker-compose.yaml -f docker-compose.microvps-full.yaml --profile microvps-full down
 ```
 
 ## Вариант 2: Docker, профиль reference