docs(issues): close #0060 - group call verified with federation closed

sorb tested a group call after the restart and it works. That proves what curl could
not: the full OpenID token check through /_matrix/federation/v1/openid/userinfo still
completes with federation closed, so the whitelist genuinely does not reach that
endpoint.

It is also where option C finally died. Blocking /_matrix/federation at the edge would
have removed exactly this path, and nothing before the call would have shown it.

STATUS.md

@@ -2,9 +2,9 @@
 
 <!-- Generated by scripts/gen_status.py — do not edit. -->
 
-## Issues (62 open, 37 closed)
+## Issues (61 open, 38 closed)
 
-Verteilung: M1 15 · M2 17 · M3 4 · M4 11 · M5 15
+Verteilung: M1 14 · M2 17 · M3 4 · M4 11 · M5 15
 
 | Issue | Status | Meilenstein | Priorität | Title |
 |---|---|---|---|---|
@@ -30,7 +30,6 @@ Verteilung: M1 15 · M2 17 · M3 4 · M4 11 · M5 15
 | [0057](docs/issues/0057-gitops-11-element-call-vp9-codec-retry.md) | open | M4 | medium | Element Call: VP9 codec retry |
 | [0058](docs/issues/0058-gitops-14-web-application-firewall-waf.md) | open | M5 | medium | Web Application Firewall (WAF) |
 | [0059](docs/issues/0059-gitops-16-pod-security-admission-restricted.md) | open | M5 | medium | Pod Security Admission (Restricted) |
-| [0060](docs/issues/0060-gitops-17-federation-allowlist-or-closed-federation-dec.md) | open | M1 | medium | Federation allowlist or closed federation decision |
 | [0061](docs/issues/0061-gitops-20-external-secrets-operator-vs-current-sops-set.md) | open | M2 | low | External-Secrets Operator vs. current SOPS setup |
 | [0062](docs/issues/0062-gitops-21-renovate-dependabot-for-chart-and-image-updat.md) | open | M5 | medium | Renovate/Dependabot for chart and image updates |
 | [0063](docs/issues/0063-gitops-22-security-advisory-monitoring-ess-element.md) | open | M5 | medium | Security advisory monitoring (ESS/Element) |

docs/issues/0060-gitops-17-federation-allowlist-or-closed-federation-dec.md

@@ -1,7 +1,7 @@
 ---
 type: issue
 id: "0060"
-status: open
+status: done
 created: 2026-07-28
 milestone: M1
 priority: medium
@@ -129,3 +129,16 @@ Server mehr Ereignisse austauscht.
 OpenID-Endpunkt antwortet — nicht, dass die vollständige Token-Prüfung durchläuft. Für
 Änderungen im Call-Pfad gilt hier die Regel aus #0054: Abnahme im echten Call ist
 Rollout-Voraussetzung, nicht Nacharbeit.
+
+### Call-Abnahme bestanden (sorb, 2026-08-19)
+
+Gruppen-Call nach dem Synapse-Neustart getestet: **läuft**. Damit ist belegt, was
+`curl` nicht belegen konnte — die vollständige OpenID-Token-Prüfung über
+`/_matrix/federation/v1/openid/userinfo` durchläuft mit geschlossener Föderation
+unverändert. Die Whitelist greift dort tatsächlich nicht.
+
+Das ist der Punkt, an dem C endgültig gestorben ist: Genau dieser Pfad hätte bei einem
+Block auf `/_matrix/federation/` gefehlt, und der Fehler wäre erst im Call aufgefallen.
+
+**Issue erledigt.** Entscheidung, Begründung und die verworfene Alternative stehen in
+[ADR-0021](../adr/0021-foederation-geschlossen.md).