docs(issues): close #0007 done — DNS-01 live and verified

Cert renewal switched to DNS-01 (IONOS): test issuance validated end-to-end
(LE YR1, valid to 2026-11-12), the shared letsencrypt resolver now renews
rohana/selendis via DNS-01, so the September renewal needs no open port 443.
Syncs the canonical file with the already-closed git.lab tracker issue 7.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/issues/0007-cfgmon-01-zertifikatserneuerung-braucht-offene.md

@@ -1,7 +1,7 @@
 ---
 type: issue
 id: "0007"
-status: in-progress
+status: done
 created: 2026-08-01
 milestone: M1
 priority: high
@@ -71,3 +71,22 @@ ist als Diff fertig (lokal geprüft, noch **nicht** gepusht — gekoppelt an Tok
    `docker compose up -d reverse-proxy` → Test-Erneuerung erzwingen → TXT + neues Cert prüfen.
 
 Danach: 443-Weltöffnung ist für ACME nicht mehr nötig (nur noch für die Dienste selbst).
+
+## Erledigt 2026-08-14 — Weg B (DNS-01) live & verifiziert
+
+Umgestellt und end-to-end bestätigt. Der IONOS-DNS-API-Key liegt in der Host-`.env`
+(`/opt/thread-net-git/.env`, git-ignoriert); die Compose-Umstellung ist git.lab-Commit
+`8d089e2` (`thread-net-git`), auf CFGMON deployt.
+
+- **Testausstellung** (Wegwerf-Router `dns01-test.axion1337.de`): DNS-01 gelöst, TXT via
+  IONOS-API gesetzt, `The server validated our request` 15:33:04 → Zertifikat 15:33:07.
+- **Live geprüft**: `openssl s_client` (SNI `dns01-test`) → Issuer **Let's Encrypt (YR1)**,
+  gültig bis **2026-11-12** — echtes LE-Cert über DNS-01.
+- **Produktiv-Resolver** `letsencrypt` steht auf `dnschallenge=true, provider=ionos` und
+  erneuert damit auch `rohana`/`selendis` → die September-Erneuerung braucht **kein offenes
+  Port 443** mehr; Zeitkritikalität ab 2026-09-28 entfällt.
+- Test-Container entfernt; git.lab-Tracker-Issue 7 geschlossen (Parallel-Session).
+
+**Rest-Hinweis:** Die September-Erneuerung ist der erste *unbeaufsichtigte* DNS-01-Lauf für
+die Bestandszertifikate. Nach dem heutigen Test spricht nichts dagegen; wer ganz sichergehen
+will, wirft Mitte September einmal kurz einen Blick ins Traefik-Log.