---
type: issue
id: "0006"
status: open
created: 2026-08-01
milestone: M1
priority: low
area: security
gitlab_iid: "6"
related: []
---
# ZONE-02: Apex-DMARC ist p=none und schützt nichts

> Import aus [management#6](https://git.lab/axion1337.chat/management/-/issues/6) (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).

`_dmarc.axion1337.de` = `v=DMARC1; p=none;` — reines Monitoring, kein Schutz
gegen gefälschte Mail. Zusätzlich fehlt `sp=`: **alle Subdomains erben p=none**, auch
künftige. `sp=reject` am Apex wäre der effiziente Hebel und macht die einzelnen
`_dmarc`-Records aus ZONE-01 auf Dauer entbehrlich.

**Reihenfolge wichtig:** erst für jeden real sendenden Namen SPF/DKIM korrekt setzen,
dann `sp=reject` — umgekehrt zerlegt es Mailversand unbemerkt. Für den Apex selbst
(echte IONOS-Mail): `p=none` → `p=quarantine` → Reports beobachten → `p=reject`.
Auffällig: `s1._domainkey.axion1337.de` hatte keinen DKIM-Record, obwohl die
Subdomains IONOS-DKIM-CNAMEs haben — beim Härten mitprüfen.

Quelle: [shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/blob/main/shared/zone-axion1337.md)

---
*Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*