diff --git a/docker-compose.yml b/docker-compose.yml
index 54867a4..bb2d7f7 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -121,7 +121,9 @@ services:
       api:
         condition: service_healthy
     healthcheck:
-      test: ["CMD-SHELL", "wget --spider -q http://localhost:3000/login || exit 1"]
+      # 127.0.0.1 i.p.v. localhost: localhost kan naar ::1 (IPv6) resolven terwijl
+      # Nuxt op 0.0.0.0 (IPv4) luistert -> onterecht 'unhealthy'.
+      test: ["CMD-SHELL", "wget --spider -q http://127.0.0.1:3000/login || exit 1"]
       interval: 30s
       timeout: 10s
       retries: 3
@@ -182,6 +184,12 @@ services:
       timeout: 5s
       retries: 3
       start_period: 10s
+    # KRITIEK: de ingress zit op meerdere netwerken; zonder dit label kiest Traefik
+    # willekeurig een netwerk-IP van de ingress — soms een app-net waar Traefik zélf
+    # NIET op zit → verbinding hangt (HTTP 000, vooral ná een container-IP-wissel bij
+    # herstart/redeploy). Pin Traefik expliciet op het 'coolify'-net.
+    labels:
+      - "traefik.docker.network=coolify"
     # ALLEEN de ingress hangt aan het gedeelde 'coolify'-netwerk (voor Traefik).
     # De backend-services blijven op het privé-app-netwerk (default) — anders
     # botst de generieke servicenaam 'redis'/'db' met Coolify's eigen