--- type: issue id: "0005" status: done created: 2026-08-01 milestone: M2 priority: low area: infrastructure gitlab_iid: "5" related: [] --- # ZONE-01: IONOS-Default-Records bereinigen (www-Paare, tote Mail-Sätze) > Import aus [management#5](https://git.lab/axion1337.chat/management/-/issues/5) (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012). IONOS legt je Subdomain automatisch `www.`-Paare und komplette Mail-Sätze an (MX, SPF ~all, DKIM-CNAMEs, autodiscover) — auch für Hosts ohne Mail. Ungenutzte Subdomain mit gültigem MX + Softfail-SPF = Spoofing-Vektor; ohne MX weichen Absender per RFC 5321 auf A/AAAA aus. Richtig: explizit „keine Mail" erklären — **Null-MX (RFC 7505), `v=spf1 -all`, `_dmarc p=reject`** — statt ersatzlos löschen. **Stand:** `rohana` + `selendis` in Arbeit (sorb setzt direkt um, seit 2026-07-30). Offen: `matrix` (Mail-Satz kann weg — MATRIX-01 hat verifiziert, dass weder Synapse noch MAS Mail versenden), `www.game`/`www.matrix` (GAME-02, MATRIX-03), `ftp` (zeigt auf IONOS-Hosting — Ballast, löschen falls ungenutzt). ⚠️ Beim SPF-Ändern **bestehenden TXT editieren**, nie zweiten anlegen (PermError). Nach Umsetzung verifizieren: www-Namen lösen nicht mehr auf, genau EIN SPF pro Name, A/AAAA von rohana/selendis unangetastet (Gitea/Grafana weiter per HTTPS erreichbar). Detail-Rezepte pro Name (Löschen/Anlegen-Tabellen): Git-Historie von [shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/blob/main/shared/zone-axion1337.md) --- *Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).* --- ## Rezepte pro Name (aus dem Backlogs-Markdown übernommen) ### rohana.axion1337.de **Löschen:** `A www.rohana`, `AAAA www.rohana` **Anlegen:** MX `rohana` = `.` (Prio 0) · TXT `rohana` = `v=spf1 -all` · TXT `_dmarc.rohana` = `v=DMARC1; p=reject;` **Nicht anfassen:** `A`/`AAAA rohana` — daran hängen Gitea und das Zertifikat. ### selendis.axion1337.de **Löschen:** `MX mx00/mx01.ionos.de`, `CNAME s1-ionos._domainkey`, `s2-ionos._domainkey`, `s42582890._domainkey`, `CNAME autodiscover.selendis`, `A`/`AAAA www.selendis` **Ändern:** TXT `selendis` von `v=spf1 include:_spf-eu.ionos.com ~all` auf `v=spf1 -all` — **bestehenden Record editieren, keinen zweiten anlegen** (PermError!) **Anlegen:** MX `selendis` = `.` (Prio 0) · TXT `_dmarc.selendis` = `v=DMARC1; p=reject;` **Vorab prüfen:** ob im IONOS-Mail-Bereich Postfach/Weiterleitung für `selendis` existiert (dann entfallen die MX-Änderungen). Falls IONOS `.` als MX-Ziel ablehnt: MX weglassen, TXT reicht. ### matrix.axion1337.de (entblockt durch MATRIX-01) Gleiches Härtungsmuster wie selendis: kompletten IONOS-Mail-Satz entfernen, Null-MX + `v=spf1 -all` + `_dmarc p=reject`; `autodiscover.matrix` kann weg. (`www.matrix` → #1.) ## In Arbeit 2026-08-14 — Ist-Stand verifiziert (DoH, extern) Die frühere Notiz „rohana + selendis in Arbeit" ist überholt — tatsächlicher Zonenstand heute: | Name | MX | SPF (TXT) | _dmarc | www | Bewertung | |---|---|---|---|---|---| | rohana | — | — | — | `www.rohana` **existiert** (188.245.193.243) | Mail-Satz weg, aber **ungehärtet** (kein Null-MX/-all/reject = spoofbar); www offen | | selendis | mx00/mx01.ionos | `~all` (softfail) | — | weg | **IONOS-Mail-Satz noch komplett da** — unangetastet | | matrix | mx00/mx01.ionos | `~all` | — | `www.matrix` + `autodiscover.matrix`→adsredir.ionos | Mail-Satz + autodiscover + www offen (#0001) | | game | — | — | — | `www.game` da (#0003) | Apex sauber (kein Mail-Satz), nur www weg | | ftp | — | — | — | A → 217.160.233.227 (IONOS-Hosting) | Ballast, löschen falls ungenutzt | **Konsolidierte Aktionsliste (IONOS-Panel/-API, nur sorb — ich habe keinen Zugang):** - **rohana**: `www.rohana` löschen · Null-MX (`.` Prio 0) + TXT `v=spf1 -all` + `_dmarc p=reject` **anlegen** (aktuell ungeschützt!). - **selendis**: MX mx00/mx01 + DKIM-CNAMEs (`s1-/s2-/s42582890-_domainkey`) + `autodiscover.selendis` löschen · SPF-TXT **editieren** `~all`→`-all` (keinen zweiten anlegen — PermError!) · Null-MX + `_dmarc p=reject` anlegen. - **matrix**: MX + `autodiscover.matrix` löschen · SPF `~all`→`-all` editieren · Null-MX + `_dmarc p=reject` anlegen · `www.matrix` löschen (#0001). - **game**: `www.game` löschen (#0003). Apex ist bereits sauber. - **ftp**: A löschen, falls nichts darauf zeigt (IONOS-Hosting-Default). **Nach Umsetzung verifizieren:** www-Namen lösen nicht mehr auf; genau EIN SPF pro Name; A/AAAA von rohana/selendis/matrix unangetastet (Gitea/Grafana/Matrix weiter per HTTPS). Ich checke die Außensicht per DoH gegen, sobald du durch bist. ## Erledigt 2026-08-14 (Teil) — rohana & selendis Beide gemeinsam mit sorb Schritt für Schritt durch IONOS umgesetzt, extern per DoH bestätigt: - **rohana**: `www.rohana` gelöscht · Null-MX (`0 .`) · SPF `v=spf1 -all` · `_dmarc.rohana` `p=reject` — alles neu angelegt, vorher komplett ungeschützt. `rohana` A-Record (Gitea) unangetastet. - **selendis**: IONOS-„Mail"-Service (nur für `selendis`, kein Postfach) deaktiviert, dadurch MX-Einträge löschbar geworden · 3 DKIM-CNAMEs + `www.selendis` gelöscht (`autodiscover.selendis` gab es nicht) · bestehenden SPF-TXT editiert (`~all`→`-all`, kein Duplikat) · Null-MX (`0 .`) · `_dmarc.selendis` `p=reject` neu angelegt. `selendis` A-Record (Grafana) unangetastet. **Lehre für die verbleibenden Namen (matrix):** Falls dort ebenfalls ein IONOS-„Mail"-Service aktiv ist, blockiert er die MX-Löschung mit „wird von einem Service verwaltet" — vorher im IONOS-Mail-Bereich prüfen, ob ein Postfach/eine Weiterleitung existiert, und den Service ggf. deaktivieren, bevor die MX-Einträge gelöscht werden. **Noch offen:** `matrix` (Mail-Satz + `autodiscover.matrix` + `www.matrix` → #0001), `www.game` (→ #0003), `ftp` (Ballast, falls ungenutzt). ## Erledigt 2026-08-14 (Teil 2) — matrix & www.game `matrix.axion1337.de` war bereits von sorb selbst entfernt (Plattform läuft unter `axion1337.chat`) — `www.matrix` damit automatisch mit weg (#0001 erledigt). `A www.game` gelöscht, extern bestätigt (#0003 erledigt). **Einziger Rest von #0005: `ftp.axion1337.de`** (zeigt auf `217.160.233.227`, IONOS-Hosting-Default) — noch nicht geprüft/gelöscht. ## Erledigt 2026-08-14 (Abschluss) — ftp `A ftp.axion1337.de` von sorb gelöscht, extern per DoH bestätigt: NXDOMAIN. Damit ist die gesamte Zonen-Bereinigung abgeschlossen: rohana + selendis gehärtet (Null-MX/SPF -all/DMARC reject), matrix bereits vorher entfernt, www.game und ftp gelöscht. Alle A/AAAA-Records der produktiven Hosts (rohana, selendis) unangetastet verifiziert.