Der 401 Fehler beim Ingest kam nicht vom JWT selbst, sondern von einem kleinen Architekturbruch. Issuer, JWKS und Host Header mussten dieselbe öffentliche Sicht auf Zitadel haben.
Ich habe den Stack so umgebaut, dass Browser und Extension nur noch Traefik sehen. Der Rest läuft über zwei Docker Netze, klare Labels und keine direkten Host-Ports mehr.
Ab acht Services im Docker-Compose-Stack wird nginx.conf zur Wartungslast. Traefik liest Service-Konfiguration direkt aus Docker-Labels, terminiert TLS automatisch über ACME und braucht keine separate Konfigurationsdatei. Warum ich gewechselt habe und wie die Konfiguration aussieht.