diff --git a/compose.yaml b/compose.yaml
index be54daa..9d51b04 100644
--- a/compose.yaml
+++ b/compose.yaml
@@ -4,7 +4,7 @@
 #  - keine Einmal- und keine Init-Container, Dockge zeigt beendete Container nicht
 #  - Migrationen laufen im Startkommando von `web`
 #  - jeder Dienst hat einen Healthcheck, das ist in Dockge die Statusanzeige
-#  - kein Reverse Proxy: TLS und Kompression macht der Cloudflare Tunnel
+#  - kein Reverse Proxy im Stack: TLS macht ein Proxy davor
 #
 # Die drei eigenen Images werden hier gebaut, nicht aus einer Registry gezogen:
 #   docker compose build && docker compose up -d
@@ -150,8 +150,15 @@ services:
       retries: 3
       start_period: 30s
 
+  # Ein Weg von aussen, falls kein eigener Reverse Proxy vorhanden ist.
+  # Startet nur auf ausdrueckliche Anforderung:
+  #     docker compose --profile cloudflare up -d
+  # Wer einen Proxy im eigenen Netz betreibt - Nginx Proxy Manager, Caddy,
+  # Traefik -, laesst diesen Dienst weg und leitet dort auf den Port aus
+  # `ports` beim Dienst `web`.
   cloudflared:
     <<: *logging
+    profiles: ['cloudflare']
     image: cloudflare/cloudflared:latest
     restart: unless-stopped
     command: tunnel --no-autoupdate run