diff --git a/modules/gateway.nix b/modules/gateway.nix
index 734e6e9..9b3c8e6 100644
--- a/modules/gateway.nix
+++ b/modules/gateway.nix
@@ -42,11 +42,44 @@
           reverse_proxy 10.202.82.6:3000
         '';
       };
+      # konnektor-web — Frontend (noch nicht gebaut, 503 bis konnektor-web-Image
+      # published ist)
       "konnektor.home.lindenfelser.de" = {
+        extraConfig = ''
+          handle {
+            respond "konnektor-web noch nicht deployed — CLI gegen https://api.konnektor.home.lindenfelser.de" 503
+          }
+        '';
+      };
+      # konnektor-api Frontend REST
+      "api.konnektor.home.lindenfelser.de" = {
         extraConfig = ''
           reverse_proxy 10.202.82.49:8080
         '';
       };
+      # Zitadel OIDC
+      #   Wichtig: `header_up Host {host}` — Zitadel routet anhand des Host-
+      #   Headers; ohne das sieht es den Upstream-Container-Hostname und failt.
+      "auth.konnektor.home.lindenfelser.de" = {
+        extraConfig = ''
+          reverse_proxy 10.202.82.49:8081 {
+            header_up Host {host}
+          }
+        '';
+      };
+      # Mailpit Web UI — NUR aus dem LAN 10.202.82.0/24 erreichbar.
+      # Alle anderen IPs bekommen 403, ohne dass Mailpit jemals angerufen wird.
+      "mailpit.konnektor.home.lindenfelser.de" = {
+        extraConfig = ''
+          @lan client_ip 10.202.82.0/24
+          handle @lan {
+            reverse_proxy 10.202.82.49:8025
+          }
+          handle {
+            respond "forbidden — mailpit ist nur aus dem LAN 10.202.82.0/24 erreichbar" 403
+          }
+        '';
+      };
     };
   };