From c0a428f43db1bc64a5604ab081a0ec72cbf7eaa9 Mon Sep 17 00:00:00 2001 From: Thore Cimbal Date: Fri, 14 Aug 2026 12:00:00 +0000 Subject: [PATCH] =?UTF-8?q?docs(issues):=20close=20#0006=20=E2=80=94=20ape?= =?UTF-8?q?x=20DMARC=20already=20at=20p=3Dreject,=20DKIM=20present?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Verified via DoH: _dmarc.axion1337.de is p=reject (sorb changed it), subdomains inherit reject with sp= absent per RFC 7489, and the noted DKIM gap was a false alarm — IONOS uses s1-ionos/s2-ionos/s42582890 selectors, all present with valid keys. Apex SPF left at ~all deliberately: real mail flows over the apex and DMARC already enforces reject, so -all adds little while risking silent send breakage. Co-Authored-By: Claude Opus 4.8 --- STATUS.md | 5 ++--- ...e-02-apex-dmarc-ist-p-none-und-schuetzt.md | 22 ++++++++++++++++++- 2 files changed, 23 insertions(+), 4 deletions(-) diff --git a/STATUS.md b/STATUS.md index 466671d..6b3ece4 100644 --- a/STATUS.md +++ b/STATUS.md @@ -2,15 +2,14 @@ -## Issues (34 open, 12 closed) +## Issues (33 open, 13 closed) -Verteilung: M1 9 · M2 19 · M4 2 · M5 4 +Verteilung: M1 8 · M2 19 · M4 2 · M5 4 | Issue | Status | Meilenstein | Priorität | Title | |---|---|---|---|---| | [0002](docs/issues/0002-game-01-host-von-cfgmon-aus-nicht-erreichbar-2.md) | waiting | M1 | medium | GAME-01: Host von CFGMON aus nicht erreichbar, 2 Prometheus-Targets down | | [0004](docs/issues/0004-overmind-02-e1000e-nic-hang-beobachtung-nach.md) | waiting | M1 | low | OVERMIND-02: e1000e-NIC-Hang — Beobachtung nach EEE-Fix + Firmware-Update | -| [0006](docs/issues/0006-zone-02-apex-dmarc-ist-p-none-und-schuetzt.md) | open | M1 | low | ZONE-02: Apex-DMARC ist p=none und schützt nichts | | [0008](docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md) | waiting | M1 | medium | CFGMON-03: Prometheus-Remote-Write und Loki öffentlich ohne Auth — Weg A, nachgelagerte Prüfung | | [0009](docs/issues/0009-cfgmon-04-grafana-admin-credentials-aus-env.md) | open | M2 | low | CFGMON-04: Grafana-Admin-Credentials aus .env gelten nicht für die HTTP-API | | [0010](docs/issues/0010-cfgmon-09-gitea-backups-off-host-borg-storage.md) | open | M1 | medium | CFGMON-09: Gitea-Backups off-host (Borg/Storage Box) — Backup-Cron ist DEAKTIVIERT | diff --git a/docs/issues/0006-zone-02-apex-dmarc-ist-p-none-und-schuetzt.md b/docs/issues/0006-zone-02-apex-dmarc-ist-p-none-und-schuetzt.md index b505173..50843d7 100644 --- a/docs/issues/0006-zone-02-apex-dmarc-ist-p-none-und-schuetzt.md +++ b/docs/issues/0006-zone-02-apex-dmarc-ist-p-none-und-schuetzt.md @@ -1,7 +1,7 @@ --- type: issue id: "0006" -status: open +status: done created: 2026-08-01 milestone: M1 priority: low @@ -28,3 +28,23 @@ Quelle: [shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/b --- *Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).* + +## Erledigt 2026-08-14 — Ist-Stand geprüft, Anliegen erfüllt + +Extern per DoH verifiziert; alle drei Punkte des Issues sind adressiert: + +- **`_dmarc.axion1337.de` = `v=DMARC1; p=reject;`** (nicht mehr `p=none`) — der Kernpunkt. + Von sorb bereits eigenständig umgestellt. +- **Subdomain-Vererbung**: Ohne `sp=`-Tag gilt laut RFC 7489 die `p=`-Policy auch für + Subdomains — mit `p=reject` erben sie also `reject`. Das vom Issue gewünschte `sp=reject` + ist damit gegenstandslos (und die Einzel-`_dmarc`-Records aus ZONE-01 sind Gürtel+Hosenträger, + schaden aber nicht). +- **Vermeintliche DKIM-Lücke war ein Fehlalarm**: gesucht wurde damals unter `s1._domainkey`, + IONOS verwendet aber `s1-ionos._domainkey` / `s2-ionos._domainkey` / `s42582890._domainkey`. + Alle drei CNAMEs existieren am Apex, die Schlüssel hinter `s1-ionos`/`s2-ionos` lösen gültig + auf (je 408 Zeichen TXT). + +**Bewusst nicht geändert:** Apex-SPF bleibt `v=spf1 include:_spf-eu.ionos.com ~all` (Softfail). +Über `axion1337.de` läuft **echter** Mailverkehr (aktive Postfächer, MX auf mx00/mx01.ionos.de); +da DMARC bereits `reject` erzwingt, ist der Sicherheitsgewinn von `-all` marginal, das Risiko +eines still gebrochenen Versands durch einen vergessenen legitimen Sender aber real.