docs(issues): close #0006 — apex DMARC already at p=reject, DKIM present

Verified via DoH: _dmarc.axion1337.de is p=reject (sorb changed it), subdomains
inherit reject with sp= absent per RFC 7489, and the noted DKIM gap was a false
alarm — IONOS uses s1-ionos/s2-ionos/s42582890 selectors, all present with valid
keys. Apex SPF left at ~all deliberately: real mail flows over the apex and DMARC
already enforces reject, so -all adds little while risking silent send breakage.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/issues/0006-zone-02-apex-dmarc-ist-p-none-und-schuetzt.md

@@ -1,7 +1,7 @@
 ---
 type: issue
 id: "0006"
-status: open
+status: done
 created: 2026-08-01
 milestone: M1
 priority: low
@@ -28,3 +28,23 @@ Quelle: [shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/b
 
 ---
 *Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*
+
+## Erledigt 2026-08-14 — Ist-Stand geprüft, Anliegen erfüllt
+
+Extern per DoH verifiziert; alle drei Punkte des Issues sind adressiert:
+
+- **`_dmarc.axion1337.de` = `v=DMARC1; p=reject;`** (nicht mehr `p=none`) — der Kernpunkt.
+  Von sorb bereits eigenständig umgestellt.
+- **Subdomain-Vererbung**: Ohne `sp=`-Tag gilt laut RFC 7489 die `p=`-Policy auch für
+  Subdomains — mit `p=reject` erben sie also `reject`. Das vom Issue gewünschte `sp=reject`
+  ist damit gegenstandslos (und die Einzel-`_dmarc`-Records aus ZONE-01 sind Gürtel+Hosenträger,
+  schaden aber nicht).
+- **Vermeintliche DKIM-Lücke war ein Fehlalarm**: gesucht wurde damals unter `s1._domainkey`,
+  IONOS verwendet aber `s1-ionos._domainkey` / `s2-ionos._domainkey` / `s42582890._domainkey`.
+  Alle drei CNAMEs existieren am Apex, die Schlüssel hinter `s1-ionos`/`s2-ionos` lösen gültig
+  auf (je 408 Zeichen TXT).
+
+**Bewusst nicht geändert:** Apex-SPF bleibt `v=spf1 include:_spf-eu.ionos.com ~all` (Softfail).
+Über `axion1337.de` läuft **echter** Mailverkehr (aktive Postfächer, MX auf mx00/mx01.ionos.de);
+da DMARC bereits `reject` erzwingt, ist der Sicherheitsgewinn von `-all` marginal, das Risiko
+eines still gebrochenen Versands durch einen vergessenen legitimen Sender aber real.