docs(issues): wiki enrolment live, mail blocker gone, console seen for the wrong host

Three corrections to questions I should not have asked again.

#0103 is implemented: autoEnrollGroups points at wiki-anwender, verified in the live
database rather than from the job log. The decision was already in #0049 - the role
model was built, only the way in was missing.

#0102's blocker was in the documentation all along: maintenance-notify sends under
.de, not .chat, via IONOS on 587. The MAIL_FROM in config.example is an example, not
the operating state. So hardening .chat cannot break maintenance mail, and Authentik
remains its only .chat sender - DKIM-covered.

#0008 is not resolved by the console screenshots: they show fw-matrix-cx42, the
Matrix host, while the issue asks which rule keeps 9090 and 3100 shut on CFGMON.
Still open. What they did show is worth keeping: SSH and the Kubernetes API are
properly source-restricted, and several rules open ports to everyone where nothing
listens - including an inbound smtp 587 that cannot help the outbound sending it was
presumably added for.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/issues/0103-wiki-zugang-ohne-gruppe-endet-stumm.md

@@ -147,3 +147,34 @@ zugeordnet.
 entschieden. Solange die Punkte oben offen sind, bleibt für diese Konten der stumme
 Fall bestehen — das ist der Grund, warum dieses Issue nicht mit den Freigaben
 erledigt ist.
+
+## Umgesetzt 2026-08-19 — Auto-Enrollment aktiv
+
+Entscheidung sorb, und sie stand schon in **#0049**: normale Authentik-Nutzer lesen die
+Anwenderdoku, Admins sind Admins („Betrieb = Admin"). Das Rollenmodell war umgesetzt,
+der **Weg hinein** nicht — deshalb dieser Fall.
+
+`autoEnrollGroups` der OIDC-Strategy zeigt jetzt auf `wiki-anwender`
+(`gitops:apps/production/wikijs-config.py`, Commit `dfb88a3`). Der Konfig-Job wurde neu
+angestoßen (Job löschen → Flux legt ihn an, wie im Dateikopf beschrieben) und meldet:
+`Auto-Enrollment in wiki-anwender, id 4`.
+
+**In der laufenden Datenbank gegengeprüft**, nicht am Logtext:
+
+```
+OIDC-Strategy  selfRegistration=t  autoEnrollGroups={"v":[4]}    # 4 = wiki-anwender
+local          selfRegistration=f  autoEnrollGroups={"v":[]}     # Break-Glass, unverändert
+```
+
+Admins bleiben Handarbeit in Authentik: Mitgliedschaft in `authentik Admins` kommt über
+den `groups`-Claim und wird von dieser Grundausstattung nicht berührt. `betrieb/*`
+behält sein Default-Deny — die in #0049 end-to-end verifizierte Abschottung gilt
+unverändert, sie greift nur nicht mehr gegen Leute, die gar nicht erst hereingelassen
+wurden.
+
+Der Skript-Teil bricht ab, wenn `wiki-anwender` fehlt, statt in eine leere Gruppe zu
+enrollen — das wäre genau der Fehler, den dieses Issue beschreibt.
+
+**Offen bleibt der Aufräumteil:** die tote Authentik-Anwendung `wiki` ohne Provider und
+die Gruppe `wiki-zugang` (4 Mitglieder), die Rechte an ihr verteilt. Beides fasse ich
+erst auf Zuruf an, weil es Authentik-Konfiguration ist.