docs/issues/0005-zone-01-ionos-default-records-bereinigen-www.md

---
type: issue
id: "0005"
status: in-progress
created: 2026-08-01
milestone: M2
priority: low
area: infrastructure
gitlab_iid: "5"
related: []
---
# ZONE-01: IONOS-Default-Records bereinigen (www-Paare, tote Mail-Sätze)

> Import aus [management#5](https://git.lab/axion1337.chat/management/-/issues/5) (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).

IONOS legt je Subdomain automatisch `www.`-Paare und komplette Mail-Sätze an
(MX, SPF ~all, DKIM-CNAMEs, autodiscover) — auch für Hosts ohne Mail. Ungenutzte
Subdomain mit gültigem MX + Softfail-SPF = Spoofing-Vektor; ohne MX weichen Absender
per RFC 5321 auf A/AAAA aus. Richtig: explizit „keine Mail" erklären — **Null-MX
(RFC 7505), `v=spf1 -all`, `_dmarc p=reject`** — statt ersatzlos löschen.

**Stand:** `rohana` + `selendis` in Arbeit (sorb setzt direkt um, seit 2026-07-30).
Offen: `matrix` (Mail-Satz kann weg — MATRIX-01 hat verifiziert, dass weder Synapse
noch MAS Mail versenden), `www.game`/`www.matrix` (GAME-02, MATRIX-03), `ftp` (zeigt
auf IONOS-Hosting — Ballast, löschen falls ungenutzt).

⚠️ Beim SPF-Ändern **bestehenden TXT editieren**, nie zweiten anlegen (PermError).
Nach Umsetzung verifizieren: www-Namen lösen nicht mehr auf, genau EIN SPF pro Name,
A/AAAA von rohana/selendis unangetastet (Gitea/Grafana weiter per HTTPS erreichbar).

Detail-Rezepte pro Name (Löschen/Anlegen-Tabellen): Git-Historie von
[shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/blob/main/shared/zone-axion1337.md)

---
*Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*

---

## Rezepte pro Name (aus dem Backlogs-Markdown übernommen)

### rohana.axion1337.de
**Löschen:** `A www.rohana`, `AAAA www.rohana`
**Anlegen:** MX `rohana` = `.` (Prio 0) · TXT `rohana` = `v=spf1 -all` · TXT `_dmarc.rohana` = `v=DMARC1; p=reject;`
**Nicht anfassen:** `A`/`AAAA rohana` — daran hängen Gitea und das Zertifikat.

### selendis.axion1337.de
**Löschen:** `MX mx00/mx01.ionos.de`, `CNAME s1-ionos._domainkey`, `s2-ionos._domainkey`, `s42582890._domainkey`, `CNAME autodiscover.selendis`, `A`/`AAAA www.selendis`
**Ändern:** TXT `selendis` von `v=spf1 include:_spf-eu.ionos.com ~all` auf `v=spf1 -all` — **bestehenden Record editieren, keinen zweiten anlegen** (PermError!)
**Anlegen:** MX `selendis` = `.` (Prio 0) · TXT `_dmarc.selendis` = `v=DMARC1; p=reject;`
**Vorab prüfen:** ob im IONOS-Mail-Bereich Postfach/Weiterleitung für `selendis` existiert (dann entfallen die MX-Änderungen). Falls IONOS `.` als MX-Ziel ablehnt: MX weglassen, TXT reicht.

### matrix.axion1337.de (entblockt durch MATRIX-01)
Gleiches Härtungsmuster wie selendis: kompletten IONOS-Mail-Satz entfernen, Null-MX + `v=spf1 -all` + `_dmarc p=reject`; `autodiscover.matrix` kann weg. (`www.matrix` → #1.)

## In Arbeit 2026-08-14 — Ist-Stand verifiziert (DoH, extern)

Die frühere Notiz „rohana + selendis in Arbeit" ist überholt — tatsächlicher Zonenstand heute:

| Name | MX | SPF (TXT) | _dmarc | www | Bewertung |
|---|---|---|---|---|---|
| rohana | — | — | — | `www.rohana` **existiert** (188.245.193.243) | Mail-Satz weg, aber **ungehärtet** (kein Null-MX/-all/reject = spoofbar); www offen |
| selendis | mx00/mx01.ionos | `~all` (softfail) | — | weg | **IONOS-Mail-Satz noch komplett da** — unangetastet |
| matrix | mx00/mx01.ionos | `~all` | — | `www.matrix` + `autodiscover.matrix`→adsredir.ionos | Mail-Satz + autodiscover + www offen (#0001) |
| game | — | — | — | `www.game` da (#0003) | Apex sauber (kein Mail-Satz), nur www weg |
| ftp | — | — | — | A → 217.160.233.227 (IONOS-Hosting) | Ballast, löschen falls ungenutzt |

**Konsolidierte Aktionsliste (IONOS-Panel/-API, nur sorb — ich habe keinen Zugang):**
- **rohana**: `www.rohana` löschen · Null-MX (`.` Prio 0) + TXT `v=spf1 -all` + `_dmarc p=reject` **anlegen** (aktuell ungeschützt!).
- **selendis**: MX mx00/mx01 + DKIM-CNAMEs (`s1-/s2-/s42582890-_domainkey`) + `autodiscover.selendis` löschen · SPF-TXT **editieren** `~all`→`-all` (keinen zweiten anlegen — PermError!) · Null-MX + `_dmarc p=reject` anlegen.
- **matrix**: MX + `autodiscover.matrix` löschen · SPF `~all`→`-all` editieren · Null-MX + `_dmarc p=reject` anlegen · `www.matrix` löschen (#0001).
- **game**: `www.game` löschen (#0003). Apex ist bereits sauber.
- **ftp**: A löschen, falls nichts darauf zeigt (IONOS-Hosting-Default).

**Nach Umsetzung verifizieren:** www-Namen lösen nicht mehr auf; genau EIN SPF pro Name; A/AAAA
von rohana/selendis/matrix unangetastet (Gitea/Grafana/Matrix weiter per HTTPS). Ich checke die
Außensicht per DoH gegen, sobald du durch bist.
feat: slice 4 - the open management issues live in the repo 2026-08-11 12:00:00 +00:00			`---`
			`type: issue`
			`id: "0005"`
docs(issues): start #0001/#0003/#0005 — DNS zone cleanup verified 2026-08-14 12:00:00 +00:00			`status: in-progress`
feat: slice 4 - the open management issues live in the repo 2026-08-11 12:00:00 +00:00			`created: 2026-08-01`
			`milestone: M2`
			`priority: low`
			`area: infrastructure`
			`gitlab_iid: "5"`
			`related: []`
			`---`
			`# ZONE-01: IONOS-Default-Records bereinigen (www-Paare, tote Mail-Sätze)`

			`> Import aus [management#5](https://git.lab/axion1337.chat/management/-/issues/5) (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).`

			IONOS legt je Subdomain automatisch `www.`-Paare und komplette Mail-Sätze an
			`(MX, SPF ~all, DKIM-CNAMEs, autodiscover) — auch für Hosts ohne Mail. Ungenutzte`
			`Subdomain mit gültigem MX + Softfail-SPF = Spoofing-Vektor; ohne MX weichen Absender`
			`per RFC 5321 auf A/AAAA aus. Richtig: explizit „keine Mail" erklären — **Null-MX`
			(RFC 7505), `v=spf1 -all`, `_dmarc p=reject`** — statt ersatzlos löschen.

			Stand: `rohana` + `selendis` in Arbeit (sorb setzt direkt um, seit 2026-07-30).
			Offen: `matrix` (Mail-Satz kann weg — MATRIX-01 hat verifiziert, dass weder Synapse
			noch MAS Mail versenden), `www.game`/`www.matrix` (GAME-02, MATRIX-03), `ftp` (zeigt
			`auf IONOS-Hosting — Ballast, löschen falls ungenutzt).`

			`⚠️ Beim SPF-Ändern bestehenden TXT editieren, nie zweiten anlegen (PermError).`
			`Nach Umsetzung verifizieren: www-Namen lösen nicht mehr auf, genau EIN SPF pro Name,`
			`A/AAAA von rohana/selendis unangetastet (Gitea/Grafana weiter per HTTPS erreichbar).`

			`Detail-Rezepte pro Name (Löschen/Anlegen-Tabellen): Git-Historie von`
			`[shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/blob/main/shared/zone-axion1337.md)`

			`---`
			`Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).`

			`---`

			`## Rezepte pro Name (aus dem Backlogs-Markdown übernommen)`

			`### rohana.axion1337.de`
			Löschen: `A www.rohana`, `AAAA www.rohana`
			Anlegen: MX `rohana` = `.` (Prio 0) · TXT `rohana` = `v=spf1 -all` · TXT `_dmarc.rohana` = `v=DMARC1; p=reject;`
			Nicht anfassen: `A`/`AAAA rohana` — daran hängen Gitea und das Zertifikat.

			`### selendis.axion1337.de`
			Löschen: `MX mx00/mx01.ionos.de`, `CNAME s1-ionos._domainkey`, `s2-ionos._domainkey`, `s42582890._domainkey`, `CNAME autodiscover.selendis`, `A`/`AAAA www.selendis`
			Ändern: TXT `selendis` von `v=spf1 include:_spf-eu.ionos.com ~all` auf `v=spf1 -all` — bestehenden Record editieren, keinen zweiten anlegen (PermError!)
			Anlegen: MX `selendis` = `.` (Prio 0) · TXT `_dmarc.selendis` = `v=DMARC1; p=reject;`
			Vorab prüfen: ob im IONOS-Mail-Bereich Postfach/Weiterleitung für `selendis` existiert (dann entfallen die MX-Änderungen). Falls IONOS `.` als MX-Ziel ablehnt: MX weglassen, TXT reicht.

			`### matrix.axion1337.de (entblockt durch MATRIX-01)`
			Gleiches Härtungsmuster wie selendis: kompletten IONOS-Mail-Satz entfernen, Null-MX + `v=spf1 -all` + `_dmarc p=reject`; `autodiscover.matrix` kann weg. (`www.matrix` → #1.)
docs(issues): start #0001/#0003/#0005 — DNS zone cleanup verified 2026-08-14 12:00:00 +00:00
			`## In Arbeit 2026-08-14 — Ist-Stand verifiziert (DoH, extern)`

			`Die frühere Notiz „rohana + selendis in Arbeit" ist überholt — tatsächlicher Zonenstand heute:`

			`\| Name \| MX \| SPF (TXT) \| _dmarc \| www \| Bewertung \|`
			`\|---\|---\|---\|---\|---\|---\|`
			\| rohana \| — \| — \| — \| `www.rohana` existiert (188.245.193.243) \| Mail-Satz weg, aber ungehärtet (kein Null-MX/-all/reject = spoofbar); www offen \|
			\| selendis \| mx00/mx01.ionos \| `~all` (softfail) \| — \| weg \| IONOS-Mail-Satz noch komplett da — unangetastet \|
			\| matrix \| mx00/mx01.ionos \| `~all` \| — \| `www.matrix` + `autodiscover.matrix`→adsredir.ionos \| Mail-Satz + autodiscover + www offen (#0001) \|
			\| game \| — \| — \| — \| `www.game` da (#0003) \| Apex sauber (kein Mail-Satz), nur www weg \|
			`\| ftp \| — \| — \| — \| A → 217.160.233.227 (IONOS-Hosting) \| Ballast, löschen falls ungenutzt \|`

			`Konsolidierte Aktionsliste (IONOS-Panel/-API, nur sorb — ich habe keinen Zugang):`
			- rohana: `www.rohana` löschen · Null-MX (`.` Prio 0) + TXT `v=spf1 -all` + `_dmarc p=reject` anlegen (aktuell ungeschützt!).
			- selendis: MX mx00/mx01 + DKIM-CNAMEs (`s1-/s2-/s42582890-_domainkey`) + `autodiscover.selendis` löschen · SPF-TXT editieren `~all`→`-all` (keinen zweiten anlegen — PermError!) · Null-MX + `_dmarc p=reject` anlegen.
			- matrix: MX + `autodiscover.matrix` löschen · SPF `~all`→`-all` editieren · Null-MX + `_dmarc p=reject` anlegen · `www.matrix` löschen (#0001).
			- game: `www.game` löschen (#0003). Apex ist bereits sauber.
			`- ftp: A löschen, falls nichts darauf zeigt (IONOS-Hosting-Default).`

			`Nach Umsetzung verifizieren: www-Namen lösen nicht mehr auf; genau EIN SPF pro Name; A/AAAA`
			`von rohana/selendis/matrix unangetastet (Gitea/Grafana/Matrix weiter per HTTPS). Ich checke die`
			`Außensicht per DoH gegen, sobald du durch bist.`