management/docs/issues/0006-zone-02-apex-dmarc-ist-p-none-und-schuetzt.md

---
type: issue
id: "0006"
status: done
created: 2026-08-01
milestone: M1
priority: low
area: security
gitlab_iid: "6"
related: []
---
# ZONE-02: Apex-DMARC ist p=none und schützt nichts

> Import aus [management#6](https://git.lab/axion1337.chat/management/-/issues/6) (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).

`_dmarc.axion1337.de` = `v=DMARC1; p=none;` — reines Monitoring, kein Schutz
gegen gefälschte Mail. Zusätzlich fehlt `sp=`: **alle Subdomains erben p=none**, auch
künftige. `sp=reject` am Apex wäre der effiziente Hebel und macht die einzelnen
`_dmarc`-Records aus ZONE-01 auf Dauer entbehrlich.

**Reihenfolge wichtig:** erst für jeden real sendenden Namen SPF/DKIM korrekt setzen,
dann `sp=reject` — umgekehrt zerlegt es Mailversand unbemerkt. Für den Apex selbst
(echte IONOS-Mail): `p=none` → `p=quarantine` → Reports beobachten → `p=reject`.
Auffällig: `s1._domainkey.axion1337.de` hatte keinen DKIM-Record, obwohl die
Subdomains IONOS-DKIM-CNAMEs haben — beim Härten mitprüfen.

Quelle: [shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/blob/main/shared/zone-axion1337.md)

---
*Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*

## Erledigt 2026-08-14 — Ist-Stand geprüft, Anliegen erfüllt

Extern per DoH verifiziert; alle drei Punkte des Issues sind adressiert:

- **`_dmarc.axion1337.de` = `v=DMARC1; p=reject;`** (nicht mehr `p=none`) — der Kernpunkt.
  Von sorb bereits eigenständig umgestellt.
- **Subdomain-Vererbung**: Ohne `sp=`-Tag gilt laut RFC 7489 die `p=`-Policy auch für
  Subdomains — mit `p=reject` erben sie also `reject`. Das vom Issue gewünschte `sp=reject`
  ist damit gegenstandslos (und die Einzel-`_dmarc`-Records aus ZONE-01 sind Gürtel+Hosenträger,
  schaden aber nicht).
- **Vermeintliche DKIM-Lücke war ein Fehlalarm**: gesucht wurde damals unter `s1._domainkey`,
  IONOS verwendet aber `s1-ionos._domainkey` / `s2-ionos._domainkey` / `s42582890._domainkey`.
  Alle drei CNAMEs existieren am Apex, die Schlüssel hinter `s1-ionos`/`s2-ionos` lösen gültig
  auf (je 408 Zeichen TXT).

**Bewusst nicht geändert:** Apex-SPF bleibt `v=spf1 include:_spf-eu.ionos.com ~all` (Softfail).
Über `axion1337.de` läuft **echter** Mailverkehr (aktive Postfächer, MX auf mx00/mx01.ionos.de);
da DMARC bereits `reject` erzwingt, ist der Sicherheitsgewinn von `-all` marginal, das Risiko
eines still gebrochenen Versands durch einen vergessenen legitimen Sender aber real.