nginx+TLS перед лендингом на прод VPS вместо голых портов наружу

Порты 3000/3001 закрыты для интернета (ufw allow только с IP VPS данных —
Prometheus). Публичный вход только netrunner-vpn.com через nginx: "/" на
сам лендинг, "/cms-api/" на PocketBase (со сменой префикса на "/api"),
"/api/" на proxy-ws (comments/speedtest, уже с этим префиксом внутри).

nginx/landing-http.conf

@@ -0,0 +1,15 @@
+# Часть 1/2 — включается всегда, с самого первого деплоя (см.
+# .gitea/workflows/deploy-nginx.yml). ACME-challenge + редирект на HTTPS.
+server {
+    listen 80;
+    listen [::]:80;
+    server_name netrunner-vpn.com;
+
+    location /.well-known/acme-challenge/ {
+        root /var/www/certbot;
+    }
+
+    location / {
+        return 301 https://$host$request_uri;
+    }
+}