Improve workshop consistency and navigation

Align challenge numbering and cross-page links, and clarify Backend C/TLS guidance so participants always see valid routes and safer cert mounting defaults.

proxy/html/challenges.html

@@ -172,6 +172,7 @@
           <a class="pill" href="/solutions.html">Solutions</a>
           <a class="pill" href="/service/a">Backend A</a>
           <a class="pill" href="/service/b">Backend B</a>
+          <a class="pill" href="/challenges.html#challenge-2-backend-c">Backend C (ab C2)</a>
         </div>
       </section>
 
@@ -199,7 +200,7 @@
 curl http://localhost:8080/service/b</code></pre>
         </details>
 
-        <details>
+        <details id="challenge-2-backend-c">
           <summary><span class="badge easy">Easy</span> 2) backend-c hinzufuegen</summary>
           <p><span class="kw">Muss:</span> Compose-Service + Upstream + Route <code>/service/c</code>.</p>
           <p><span class="kw">Zusatz:</span> <code>backends/c/index.html</code> ist vorhanden und darf angepasst werden.</p>
@@ -246,7 +247,7 @@ curl http://localhost:8080/service/b</code></pre>
         </details>
 
         <details>
-          <summary><span class="badge medium">Medium</span> 6a) Load Balancing</summary>
+          <summary><span class="badge medium">Medium</span> 7) Load Balancing</summary>
           <p>Zweite Instanz von Backend A (<code>backend-a2</code>) einbauen und Round-Robin zeigen.</p>
           <p><span class="kw">Warum wichtig:</span> Lastverteilung ist Kernnutzen eines Reverse Proxys fuer Skalierung und Verfuegbarkeit.</p>
           <pre><code>for i in $(seq 1 8); do
@@ -255,17 +256,18 @@ done</code></pre>
         </details>
 
         <details>
-          <summary><span class="badge medium">Medium</span> 6b) Response Header Minimization</summary>
+          <summary><span class="badge medium">Medium</span> 8) Response Header Minimization</summary>
           <p>Mindestens einen Backend-Response-Header per <code>proxy_hide_header</code> ausblenden.</p>
-          <p><span class="kw">Abgrenzung zu #4:</span> #4 setzt Schutz-Header, #6b entfernt unnoetige Header aus Upstream-Responses.</p>
+          <p><span class="kw">Abgrenzung zu #4:</span> #4 setzt Schutz-Header, #8 entfernt unnoetige Header aus Upstream-Responses.</p>
           <p><span class="kw">Warum wichtig:</span> Weniger preisgegebene Metadaten erschweren Fingerprinting und zielgerichtete Angriffe.</p>
           <pre><code>curl -I http://localhost:8080/service/a</code></pre>
         </details>
 
         <details>
-          <summary><span class="badge medium">Medium</span> 6c) Debugging Challenge</summary>
+          <summary><span class="badge medium">Medium</span> 9) Debugging Challenge</summary>
           <p>Mit <code>proxy/nginx.broken.conf</code> arbeiten, Fehler finden und reparieren.</p>
           <p><span class="kw">Warum wichtig:</span> In der Praxis geht es oft um Diagnose unter Zeitdruck, nicht nur um Greenfield-Konfiguration.</p>
+          <p><span class="kw">Typische Fehler in der kaputten Datei:</span> Upstream-Name-Mismatch, falscher Port, fehlender Trailing Slash in <code>proxy_pass</code>.</p>
           <pre><code>curl http://localhost:8080/service/a
 curl http://localhost:8080/service/b
 ./scripts/compose.sh logs reverse-proxy</code></pre>
@@ -276,22 +278,22 @@ curl http://localhost:8080/service/b
         <h2>Hard (TLS)</h2>
 
         <details>
-          <summary><span class="badge hard">Hard</span> 7) HTTPS von 0 (Easy-RSA)</summary>
+          <summary><span class="badge hard">Hard</span> 10) HTTPS von 0 (Easy-RSA)</summary>
           <p>Zertifikat fuer <code>localhost</code>, Port <code>8443:443</code>, Root-CA importiert.</p>
           <p><span class="kw">Warum wichtig:</span> TLS-Grundaufbau ist Voraussetzung fuer vertrauliche und manipulationssichere Kommunikation.</p>
           <pre><code>curl https://localhost:8443/service/a</code></pre>
         </details>
 
         <details>
-          <summary><span class="badge hard">Hard</span> 8) HTTP -&gt; HTTPS Redirect</summary>
-          <p><span class="kw">Voraussetzung:</span> Challenge 7 abgeschlossen. Bestehende Config weiterverwenden.</p>
+          <summary><span class="badge hard">Hard</span> 11) HTTP -&gt; HTTPS Redirect</summary>
+          <p><span class="kw">Voraussetzung:</span> Challenge 10 abgeschlossen. Bestehende Config weiterverwenden.</p>
           <p><span class="kw">Warum wichtig:</span> Redirect verhindert unabsichtliche Klartext-Nutzung und erzwingt den sicheren Transport.</p>
           <pre><code>curl -I http://localhost:8080/service/a</code></pre>
         </details>
 
         <details>
-          <summary><span class="badge hard">Hard</span> 9) TLS Haertung + Chain + HSTS</summary>
-          <p><span class="kw">Voraussetzung:</span> Challenge 7 und 8 abgeschlossen. Gleiche Config weiter erweitern.</p>
+          <summary><span class="badge hard">Hard</span> 12) TLS Haertung + Chain + HSTS</summary>
+          <p><span class="kw">Voraussetzung:</span> Challenge 10 und 11 abgeschlossen. Gleiche Config weiter erweitern.</p>
           <p><span class="kw">Warum wichtig:</span> Erst Haertung + HSTS reduzieren Downgrade-Risiken und sorgen fuer dauerhaft sichere Clients.</p>
           <pre><code>curl -I https://localhost:8443/service/a
 openssl s_client -connect localhost:8443 -servername localhost</code></pre>
@@ -302,7 +304,7 @@ openssl s_client -connect localhost:8443 -servername localhost</code></pre>
         <h2>Bonus Expert</h2>
 
         <details>
-          <summary><span class="badge expert">Expert</span> 10) Wireshark: HTTP vs HTTPS sauber ausarbeiten</summary>
+          <summary><span class="badge expert">Expert</span> 13) Wireshark: HTTP vs HTTPS sauber ausarbeiten</summary>
           <p><span class="kw">Warum wichtig:</span> Sichtbarkeit auf Paketebene macht den Sicherheitsgewinn von TLS fuer alle nachvollziehbar.</p>
           <ol>
             <li>HTTP auf <code>8080</code> mitschneiden und Klartext zeigen.</li>