feat: slice 4 - the open management issues live in the repo

Gate 4, slice 4: 26 open management issues imported from live git.lab
(read-only, descriptions included as authorized; GitLab iid = file id,
labels/milestone/priority/due/host/area mapped into frontmatter, the
import aborts instead of inventing a missing milestone or priority).
Two new issues close the F-004 gap where work was really still open
(0033 OVERMIND-01, 0034 CFGMON-11 incl. the plaintext npm-token
rotation); CFGMON-12/13 already route to verified git.lab issues,
MATRIX-05 is done and needs none (agreed with sorb). The three wiki
task blocks now reference their issues, roadmap.md hands all counts to
the generated STATUS.md and states M1-M5 per ADR-0010 (closing F-001
in the canonical prose), pruefe_prosa joins the CI validate job, and
the import protocol under docs/sources/migration/ records every
intervention into imported text.

Verified: validate 0/0 over 29 issue files, gen_status --check current
(distribution line M1 9 - M2 17 - M4 2 plus per-issue milestone and
priority), pruefe_prosa 0 errors with clones and 0 errors/15 unchecked
citations in offline CI mode, drift check green.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/issues/0007-cfgmon-01-zertifikatserneuerung-braucht-offene.md

@@ -0,0 +1,35 @@
+---
+type: issue
+id: "0007"
+status: next
+created: 2026-08-01
+milestone: M1
+priority: high
+due: 2026-09-28
+host: cfgmon
+gitlab_iid: "7"
+related: []
+---
+# CFGMON-01: Zertifikatserneuerung braucht offene Ports — zeitkritisch ab 2026-09-28
+
+> Import aus [management#7](https://git.lab/axion1337.chat/management/-/issues/7) (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).
+
+Certs für `selendis`/`rohana` laufen am **2026-10-28** ab; Traefik erneuert ab
+Ende September via TLS-ALPN-01 — braucht **Port 443 offen aus dem ganzen Internet**
+(LE veröffentlicht keine Validierungs-IPs, Multi-Perspective-Validation). Der
+Normalzustand der Umgebung (443 auf eigene IP beschränkt) lässt die Erneuerung
+**still** scheitern → Self-Signed-Default-Cert. IPv6-Pfad ist geprüft frei
+(`::/0` separat in der Hetzner-Firewall-Regel; `0.0.0.0/0` deckt IPv6 NICHT ab) —
+die September-Erneuerung ist aber der **erste** Lauf, der IPv6 überhaupt versucht.
+
+**Entscheidung nötig:**
+- **A — Ports offen lassen** bzw. zur Erneuerung öffnen (Kalendereintrag Mitte
+  September, nicht aufs Ablaufdatum!)
+- **B — auf DNS-01 umstellen (empfohlen):** TXT-Validierung, kein offener Port,
+  ermöglicht Wildcards. Braucht IONOS-API-Token als Traefik-Secret; Voraussetzung
+  (versionierter Traefik-Stack) ist seit CFGMON-02 erfüllt.
+
+Quelle: [hosts/cfgmon.md](https://git.lab/axion1337.chat/management/-/blob/main/hosts/cfgmon.md)
+
+---
+*Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*