chore: LLM provider env for Langflow, persistent sessions, Fernet key doc

.env.example

@@ -17,6 +17,11 @@ LANGFLOW_SUPERUSER=langflow
 # Long random values (check_prod.py enforces length). Never leave the
 # placeholders: the authoring UI is internet-facing.
 LANGFLOW_SUPERUSER_PASSWORD=
+# MUST be a valid Fernet key (44 chars, urlsafe-base64, 32 bytes) — any
+# other value breaks variable decryption ("Fernet key must be 32
+# url-safe base64-encoded bytes") and provider keys cannot be saved.
+# Generate with:
+#   python -c "import base64,os;print(base64.urlsafe_b64encode(os.urandom(32)).decode())"
 LANGFLOW_SECRET_KEY=
 # Single static key; validated against env (LANGFLOW_API_KEY_SOURCE=env), superuser scope.
 LANGFLOW_API_KEY=sk-
@@ -51,4 +56,21 @@ SMTP_USERNAME=
 SMTP_PASSWORD=
 
 # --- LLM (optional; tests mock the provider without it) ---
-# LLM_API_KEY=
+# LLM_API_KEY=
+
+# --- LLM provider für Langflow (Authoring-UI + LFX-Runtime) ---
+# Langflow erzeugt daraus automatisch Global Variables (Credential-Typ);
+# LFX liest dieselben Werte zur Laufzeit. Eine in der UI angelegte Global
+# Variable mit gleichem Namen hat Vorrang, die Env-Variable ist Fallback.
+# OpenAI-kompatibler Endpoint (auch selbst gehostet); ohne eigenen Provider
+# leer lassen. Beispiel: https://openrouter.ai/api/v1
+OPENAI_API_KEY=
+OPENAI_BASE_URL=
+
+# --- Langflow-Login-Sitzung ---
+# Refresh-Token-Gültigkeit in Sekunden (Default 604800 = 7 Tage).
+# 7776000 = 90 Tage: einmal einloggen, Container-Restarts übersteht die
+# Session, solange LANGFLOW_SECRET_KEY stabil bleibt. In Prod kürzer wählen.
+# LANGFLOW_REFRESH_TOKEN_EXPIRE_SECONDS=7776000
+# Erstellt Global Variables aus Env (Credential-Typ), restart-fest:
+# LANGFLOW_VARIABLES_TO_GET_FROM_ENVIRONMENT=OPENAI_API_KEY,OPENAI_BASE_URL