docs(issues): start #0001/#0003/#0005 — DNS zone cleanup verified

Verified current axion1337.de zone state via DoH: www.matrix/www.game are
IONOS-default records nothing serves (cluster routes .chat, no matching cert);
rohana is unhardened (no Null-MX/-all/reject) with www.rohana still present;
selendis mail-set untouched; matrix mail-set + autodiscover present; ftp is
IONOS-hosting ballast. Attached a consolidated per-name IONOS action list; the
mutations are sorb's to run in IONOS (no API access from here). Batch in-progress.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

STATUS.md

@@ -8,11 +8,11 @@ Verteilung: M1 9 · M2 22 · M4 2 · M5 4
 
 | Issue | Status | Meilenstein | Priorität | Title |
 |---|---|---|---|---|
-| [0001](docs/issues/0001-matrix-03-www-matrix-axion1337-de-ist.md) | open | M2 | low | MATRIX-03: www.matrix.axion1337.de ist überflüssig |
+| [0001](docs/issues/0001-matrix-03-www-matrix-axion1337-de-ist.md) | in-progress | M2 | low | MATRIX-03: www.matrix.axion1337.de ist überflüssig |
 | [0002](docs/issues/0002-game-01-host-von-cfgmon-aus-nicht-erreichbar-2.md) | waiting | M1 | medium | GAME-01: Host von CFGMON aus nicht erreichbar, 2 Prometheus-Targets down |
-| [0003](docs/issues/0003-game-02-www-game-axion1337-de-ist-ueberfluessig.md) | open | M2 | low | GAME-02: www.game.axion1337.de ist überflüssig |
+| [0003](docs/issues/0003-game-02-www-game-axion1337-de-ist-ueberfluessig.md) | in-progress | M2 | low | GAME-02: www.game.axion1337.de ist überflüssig |
 | [0004](docs/issues/0004-overmind-02-e1000e-nic-hang-beobachtung-nach.md) | waiting | M1 | low | OVERMIND-02: e1000e-NIC-Hang — Beobachtung nach EEE-Fix + Firmware-Update |
-| [0005](docs/issues/0005-zone-01-ionos-default-records-bereinigen-www.md) | open | M2 | low | ZONE-01: IONOS-Default-Records bereinigen (www-Paare, tote Mail-Sätze) |
+| [0005](docs/issues/0005-zone-01-ionos-default-records-bereinigen-www.md) | in-progress | M2 | low | ZONE-01: IONOS-Default-Records bereinigen (www-Paare, tote Mail-Sätze) |
 | [0006](docs/issues/0006-zone-02-apex-dmarc-ist-p-none-und-schuetzt.md) | open | M1 | low | ZONE-02: Apex-DMARC ist p=none und schützt nichts |
 | [0008](docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md) | waiting | M1 | medium | CFGMON-03: Prometheus-Remote-Write und Loki öffentlich ohne Auth — Weg A, nachgelagerte Prüfung |
 | [0009](docs/issues/0009-cfgmon-04-grafana-admin-credentials-aus-env.md) | open | M2 | low | CFGMON-04: Grafana-Admin-Credentials aus .env gelten nicht für die HTTP-API |

docs/issues/0001-matrix-03-www-matrix-axion1337-de-ist.md

@@ -1,7 +1,7 @@
 ---
 type: issue
 id: "0001"
-status: open
+status: in-progress
 created: 2026-08-01
 milestone: M2
 priority: low
@@ -22,3 +22,12 @@ Quelle: [hosts/matrix.md](https://git.lab/axion1337.chat/management/-/blob/main/
 
 ---
 *Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*
+
+## In Arbeit 2026-08-14 — verifiziert
+
+DNS-Ist (DoH, extern): `A www.matrix.axion1337.de → 49.13.132.245`. Verifiziert, dass **nichts**
+darauf hört: der Matrix-Cluster-Ingress routet nur `matrix.axion1337.chat` (nicht `.de`), es
+gibt keine Ingress-/IngressRoute-Regel für `www.matrix`, und der Name liefert nur ein
+nicht-passendes Default-Cert (kein eigener Router). → **gefahrlos löschbar.**
+
+**Aktion (IONOS, nur sorb):** `A www.matrix.axion1337.de` löschen. Teil der Zonen-Bereinigung #0005.

docs/issues/0003-game-02-www-game-axion1337-de-ist-ueberfluessig.md

@@ -1,7 +1,7 @@
 ---
 type: issue
 id: "0003"
-status: open
+status: in-progress
 created: 2026-08-01
 milestone: M2
 priority: low
@@ -23,3 +23,12 @@ Quelle: [hosts/game.md](https://git.lab/axion1337.chat/management/-/blob/main/ho
 
 ---
 *Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*
+
+## In Arbeit 2026-08-14 — verifiziert
+
+DNS-Ist (DoH, extern): `A www.game.axion1337.de → 157.90.155.206` (identisch zum `game`-Apex).
+Kein MX/TXT. Extern kein passendes Cert; der Host ist von hier nicht erreichbar (GAME-01), also
+nicht host-seitig gegengeprüft — es ist aber ein reiner IONOS-Default-`www.` einer Subdomain,
+kein bewusst eingerichteter Dienst. → löschbar.
+
+**Aktion (IONOS, nur sorb):** `A www.game.axion1337.de` löschen. Teil von #0005.

docs/issues/0005-zone-01-ionos-default-records-bereinigen-www.md

@@ -1,7 +1,7 @@
 ---
 type: issue
 id: "0005"
-status: open
+status: in-progress
 created: 2026-08-01
 milestone: M2
 priority: low
@@ -51,3 +51,26 @@ Detail-Rezepte pro Name (Löschen/Anlegen-Tabellen): Git-Historie von
 
 ### matrix.axion1337.de (entblockt durch MATRIX-01)
 Gleiches Härtungsmuster wie selendis: kompletten IONOS-Mail-Satz entfernen, Null-MX + `v=spf1 -all` + `_dmarc p=reject`; `autodiscover.matrix` kann weg. (`www.matrix` → #1.)
+
+## In Arbeit 2026-08-14 — Ist-Stand verifiziert (DoH, extern)
+
+Die frühere Notiz „rohana + selendis in Arbeit" ist überholt — tatsächlicher Zonenstand heute:
+
+| Name | MX | SPF (TXT) | _dmarc | www | Bewertung |
+|---|---|---|---|---|---|
+| rohana | — | — | — | `www.rohana` **existiert** (188.245.193.243) | Mail-Satz weg, aber **ungehärtet** (kein Null-MX/-all/reject = spoofbar); www offen |
+| selendis | mx00/mx01.ionos | `~all` (softfail) | — | weg | **IONOS-Mail-Satz noch komplett da** — unangetastet |
+| matrix | mx00/mx01.ionos | `~all` | — | `www.matrix` + `autodiscover.matrix`→adsredir.ionos | Mail-Satz + autodiscover + www offen (#0001) |
+| game | — | — | — | `www.game` da (#0003) | Apex sauber (kein Mail-Satz), nur www weg |
+| ftp | — | — | — | A → 217.160.233.227 (IONOS-Hosting) | Ballast, löschen falls ungenutzt |
+
+**Konsolidierte Aktionsliste (IONOS-Panel/-API, nur sorb — ich habe keinen Zugang):**
+- **rohana**: `www.rohana` löschen · Null-MX (`.` Prio 0) + TXT `v=spf1 -all` + `_dmarc p=reject` **anlegen** (aktuell ungeschützt!).
+- **selendis**: MX mx00/mx01 + DKIM-CNAMEs (`s1-/s2-/s42582890-_domainkey`) + `autodiscover.selendis` löschen · SPF-TXT **editieren** `~all`→`-all` (keinen zweiten anlegen — PermError!) · Null-MX + `_dmarc p=reject` anlegen.
+- **matrix**: MX + `autodiscover.matrix` löschen · SPF `~all`→`-all` editieren · Null-MX + `_dmarc p=reject` anlegen · `www.matrix` löschen (#0001).
+- **game**: `www.game` löschen (#0003). Apex ist bereits sauber.
+- **ftp**: A löschen, falls nichts darauf zeigt (IONOS-Hosting-Default).
+
+**Nach Umsetzung verifizieren:** www-Namen lösen nicht mehr auf; genau EIN SPF pro Name; A/AAAA
+von rohana/selendis/matrix unangetastet (Gitea/Grafana/Matrix weiter per HTTPS). Ich checke die
+Außensicht per DoH gegen, sobald du durch bist.