diff --git a/proyectos/nexus/README.md b/proyectos/nexus/README.md
index 47e3d39..6b46769 100644
--- a/proyectos/nexus/README.md
+++ b/proyectos/nexus/README.md
@@ -32,3 +32,21 @@
 ---
 
 *Documentación Nexus Autoparts - Consultoria-AS*
+
+
+## Acceso por Cloudflare Tunnel (post-CGNAT) — Sept 2026
+
+Tras la mudanza (CGNAT sin port forwarding), el acceso a Nexus se migró a Cloudflare Tunnel (`oficina-dockge`, corriendo en Dockge):
+
+| URL | Destino | Estado |
+|---|---|---|
+| `https://nexus.consultoria-as.com` | 192.168.10.91:5000 | ✅ |
+| `https://*.nexusautoparts.com.mx` (wildcard clientes) | 192.168.10.91:80 (Caddy de instancias) | ✅ |
+| `https://manager.nexusautoparts.com.mx` | 192.168.10.89:5003 (Nexus Instance Manager) | ✅ |
+| `https://nexusautoparts.com.mx` | 192.168.10.91:80 | ✅ |
+
+**Notas:**
+- El wildcard `*.nexusautoparts.com.mx` es CNAME al túnel → los clientes nuevos NO necesitan registro DNS nuevo al crear la cuenta (el wildcard los cubre).
+- El Manager ya no necesita crear registros A: cada cliente resuelve por el wildcard.
+- Pendiente sugerido: activar "Always Use HTTPS" en la zona nexusautoparts.com.mx (el redirect del manager va a http://).
+- `admin.nexusautopartars.com.mx` quedó como CNAME huérfano (se usó manager en su lugar).