docs(issues): close #0006 — apex DMARC already at p=reject, DKIM present

Verified via DoH: _dmarc.axion1337.de is p=reject (sorb changed it), subdomains
inherit reject with sp= absent per RFC 7489, and the noted DKIM gap was a false
alarm — IONOS uses s1-ionos/s2-ionos/s42582890 selectors, all present with valid
keys. Apex SPF left at ~all deliberately: real mail flows over the apex and DMARC
already enforces reject, so -all adds little while risking silent send breakage.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

STATUS.md

@@ -2,15 +2,14 @@
 
 <!-- Generated by scripts/gen_status.py — do not edit. -->
 
-## Issues (34 open, 12 closed)
+## Issues (33 open, 13 closed)
 
-Verteilung: M1 9 · M2 19 · M4 2 · M5 4
+Verteilung: M1 8 · M2 19 · M4 2 · M5 4
 
 | Issue | Status | Meilenstein | Priorität | Title |
 |---|---|---|---|---|
 | [0002](docs/issues/0002-game-01-host-von-cfgmon-aus-nicht-erreichbar-2.md) | waiting | M1 | medium | GAME-01: Host von CFGMON aus nicht erreichbar, 2 Prometheus-Targets down |
 | [0004](docs/issues/0004-overmind-02-e1000e-nic-hang-beobachtung-nach.md) | waiting | M1 | low | OVERMIND-02: e1000e-NIC-Hang — Beobachtung nach EEE-Fix + Firmware-Update |
-| [0006](docs/issues/0006-zone-02-apex-dmarc-ist-p-none-und-schuetzt.md) | open | M1 | low | ZONE-02: Apex-DMARC ist p=none und schützt nichts |
 | [0008](docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md) | waiting | M1 | medium | CFGMON-03: Prometheus-Remote-Write und Loki öffentlich ohne Auth — Weg A, nachgelagerte Prüfung |
 | [0009](docs/issues/0009-cfgmon-04-grafana-admin-credentials-aus-env.md) | open | M2 | low | CFGMON-04: Grafana-Admin-Credentials aus .env gelten nicht für die HTTP-API |
 | [0010](docs/issues/0010-cfgmon-09-gitea-backups-off-host-borg-storage.md) | open | M1 | medium | CFGMON-09: Gitea-Backups off-host (Borg/Storage Box) — Backup-Cron ist DEAKTIVIERT |

docs/issues/0006-zone-02-apex-dmarc-ist-p-none-und-schuetzt.md

@@ -1,7 +1,7 @@
 ---
 type: issue
 id: "0006"
-status: open
+status: done
 created: 2026-08-01
 milestone: M1
 priority: low
@@ -28,3 +28,23 @@ Quelle: [shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/b
 
 ---
 *Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*
+
+## Erledigt 2026-08-14 — Ist-Stand geprüft, Anliegen erfüllt
+
+Extern per DoH verifiziert; alle drei Punkte des Issues sind adressiert:
+
+- **`_dmarc.axion1337.de` = `v=DMARC1; p=reject;`** (nicht mehr `p=none`) — der Kernpunkt.
+  Von sorb bereits eigenständig umgestellt.
+- **Subdomain-Vererbung**: Ohne `sp=`-Tag gilt laut RFC 7489 die `p=`-Policy auch für
+  Subdomains — mit `p=reject` erben sie also `reject`. Das vom Issue gewünschte `sp=reject`
+  ist damit gegenstandslos (und die Einzel-`_dmarc`-Records aus ZONE-01 sind Gürtel+Hosenträger,
+  schaden aber nicht).
+- **Vermeintliche DKIM-Lücke war ein Fehlalarm**: gesucht wurde damals unter `s1._domainkey`,
+  IONOS verwendet aber `s1-ionos._domainkey` / `s2-ionos._domainkey` / `s42582890._domainkey`.
+  Alle drei CNAMEs existieren am Apex, die Schlüssel hinter `s1-ionos`/`s2-ionos` lösen gültig
+  auf (je 408 Zeichen TXT).
+
+**Bewusst nicht geändert:** Apex-SPF bleibt `v=spf1 include:_spf-eu.ionos.com ~all` (Softfail).
+Über `axion1337.de` läuft **echter** Mailverkehr (aktive Postfächer, MX auf mx00/mx01.ionos.de);
+da DMARC bereits `reject` erzwingt, ist der Sicherheitsgewinn von `-all` marginal, das Risiko
+eines still gebrochenen Versands durch einen vergessenen legitimen Sender aber real.