31 lines
1.3 KiB
Markdown
31 lines
1.3 KiB
Markdown
 
|
---
|
||
|
|
type: issue
|
||
|
|
id: "0006"
|
||
|
|
status: open
|
||
|
|
created: 2026-08-01
|
||
|
|
milestone: M1
|
||
|
|
priority: low
|
||
|
|
area: security
|
||
|
|
gitlab_iid: "6"
|
||
|
|
related: []
|
||
|
|
---
|
||
|
|
# ZONE-02: Apex-DMARC ist p=none und schützt nichts
|
||
|
|
|
||
|
|
> Import aus [management#6](https://git.lab/axion1337.chat/management/-/issues/6) (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).
|
||
|
|
|
||
|
|
`_dmarc.axion1337.de` = `v=DMARC1; p=none;` — reines Monitoring, kein Schutz
|
||
|
|
gegen gefälschte Mail. Zusätzlich fehlt `sp=`: **alle Subdomains erben p=none**, auch
|
||
|
|
künftige. `sp=reject` am Apex wäre der effiziente Hebel und macht die einzelnen
|
||
|
|
`_dmarc`-Records aus ZONE-01 auf Dauer entbehrlich.
|
||
|
|
|
||
|
|
**Reihenfolge wichtig:** erst für jeden real sendenden Namen SPF/DKIM korrekt setzen,
|
||
|
|
dann `sp=reject` — umgekehrt zerlegt es Mailversand unbemerkt. Für den Apex selbst
|
||
|
|
(echte IONOS-Mail): `p=none` → `p=quarantine` → Reports beobachten → `p=reject`.
|
||
|
|
Auffällig: `s1._domainkey.axion1337.de` hatte keinen DKIM-Record, obwohl die
|
||
|
|
Subdomains IONOS-DKIM-CNAMEs haben — beim Härten mitprüfen.
|
||
|
|
|
||
|
|
Quelle: [shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/blob/main/shared/zone-axion1337.md)
|
||
|
|
|
||
|
|
---
|
||
|
|
*Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*
|