management/docs/issues/0005-zone-01-ionos-default-records-bereinigen-www.md

type, id, status, created, milestone, priority, area, gitlab_iid, related

type	id	status	created	milestone	priority	area	gitlab_iid	related
issue	0005	in-progress	2026-08-01	M2	low	infrastructure	5

ZONE-01: IONOS-Default-Records bereinigen (www-Paare, tote Mail-Sätze)

Import aus management#5 (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).

IONOS legt je Subdomain automatisch www.-Paare und komplette Mail-Sätze an (MX, SPF ~all, DKIM-CNAMEs, autodiscover) — auch für Hosts ohne Mail. Ungenutzte Subdomain mit gültigem MX + Softfail-SPF = Spoofing-Vektor; ohne MX weichen Absender per RFC 5321 auf A/AAAA aus. Richtig: explizit „keine Mail" erklären — Null-MX (RFC 7505), v=spf1 -all, _dmarc p=reject — statt ersatzlos löschen.

Stand: rohana + selendis in Arbeit (sorb setzt direkt um, seit 2026-07-30). Offen: matrix (Mail-Satz kann weg — MATRIX-01 hat verifiziert, dass weder Synapse noch MAS Mail versenden), www.game/www.matrix (GAME-02, MATRIX-03), ftp (zeigt auf IONOS-Hosting — Ballast, löschen falls ungenutzt).

⚠️ Beim SPF-Ändern bestehenden TXT editieren, nie zweiten anlegen (PermError). Nach Umsetzung verifizieren: www-Namen lösen nicht mehr auf, genau EIN SPF pro Name, A/AAAA von rohana/selendis unangetastet (Gitea/Grafana weiter per HTTPS erreichbar).

Detail-Rezepte pro Name (Löschen/Anlegen-Tabellen): Git-Historie von shared/zone-axion1337.md

---

Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).

---

Rezepte pro Name (aus dem Backlogs-Markdown übernommen)

rohana.axion1337.de

Löschen: A www.rohana, AAAA www.rohana Anlegen: MX rohana = . (Prio 0) · TXT rohana = v=spf1 -all · TXT _dmarc.rohana = v=DMARC1; p=reject; Nicht anfassen: A/AAAA rohana — daran hängen Gitea und das Zertifikat.

selendis.axion1337.de

Löschen: MX mx00/mx01.ionos.de, CNAME s1-ionos._domainkey, s2-ionos._domainkey, s42582890._domainkey, CNAME autodiscover.selendis, A/AAAA www.selendis Ändern: TXT selendis von v=spf1 include:_spf-eu.ionos.com ~all auf v=spf1 -all — bestehenden Record editieren, keinen zweiten anlegen (PermError!) Anlegen: MX selendis = . (Prio 0) · TXT _dmarc.selendis = v=DMARC1; p=reject; Vorab prüfen: ob im IONOS-Mail-Bereich Postfach/Weiterleitung für selendis existiert (dann entfallen die MX-Änderungen). Falls IONOS . als MX-Ziel ablehnt: MX weglassen, TXT reicht.

matrix.axion1337.de (entblockt durch MATRIX-01)

Gleiches Härtungsmuster wie selendis: kompletten IONOS-Mail-Satz entfernen, Null-MX + v=spf1 -all + _dmarc p=reject; autodiscover.matrix kann weg. (www.matrix → #1.)

In Arbeit 2026-08-14 — Ist-Stand verifiziert (DoH, extern)

Die frühere Notiz „rohana + selendis in Arbeit" ist überholt — tatsächlicher Zonenstand heute:

Name	MX	SPF (TXT)	_dmarc	www	Bewertung
rohana	—	—	—	www.rohana existiert (188.245.193.243)	Mail-Satz weg, aber ungehärtet (kein Null-MX/-all/reject = spoofbar); www offen
selendis	mx00/mx01.ionos	~all (softfail)	—	weg	IONOS-Mail-Satz noch komplett da — unangetastet
matrix	mx00/mx01.ionos	~all	—	www.matrix + autodiscover.matrix→adsredir.ionos	Mail-Satz + autodiscover + www offen (#0001)
game	—	—	—	www.game da (#0003)	Apex sauber (kein Mail-Satz), nur www weg
ftp	—	—	—	A → 217.160.233.227 (IONOS-Hosting)	Ballast, löschen falls ungenutzt

Konsolidierte Aktionsliste (IONOS-Panel/-API, nur sorb — ich habe keinen Zugang):

• rohana: www.rohana löschen · Null-MX (. Prio 0) + TXT v=spf1 -all + _dmarc p=reject anlegen (aktuell ungeschützt!).
• selendis: MX mx00/mx01 + DKIM-CNAMEs (s1-/s2-/s42582890-_domainkey) + autodiscover.selendis löschen · SPF-TXT editieren ~all→-all (keinen zweiten anlegen — PermError!) · Null-MX + _dmarc p=reject anlegen.
• matrix: MX + autodiscover.matrix löschen · SPF ~all→-all editieren · Null-MX + _dmarc p=reject anlegen · www.matrix löschen (#0001).
• game: www.game löschen (#0003). Apex ist bereits sauber.
• ftp: A löschen, falls nichts darauf zeigt (IONOS-Hosting-Default).

Nach Umsetzung verifizieren: www-Namen lösen nicht mehr auf; genau EIN SPF pro Name; A/AAAA von rohana/selendis/matrix unangetastet (Gitea/Grafana/Matrix weiter per HTTPS). Ich checke die Außensicht per DoH gegen, sobald du durch bist.

Erledigt 2026-08-14 (Teil) — rohana & selendis

Beide gemeinsam mit sorb Schritt für Schritt durch IONOS umgesetzt, extern per DoH bestätigt:

• rohana: www.rohana gelöscht · Null-MX (0 .) · SPF v=spf1 -all · _dmarc.rohana p=reject — alles neu angelegt, vorher komplett ungeschützt. rohana A-Record (Gitea) unangetastet.
• selendis: IONOS-„Mail"-Service (nur für selendis, kein Postfach) deaktiviert, dadurch MX-Einträge löschbar geworden · 3 DKIM-CNAMEs + www.selendis gelöscht (autodiscover.selendis gab es nicht) · bestehenden SPF-TXT editiert (~all→-all, kein Duplikat) · Null-MX (0 .) · _dmarc.selendis p=reject neu angelegt. selendis A-Record (Grafana) unangetastet.

Lehre für die verbleibenden Namen (matrix): Falls dort ebenfalls ein IONOS-„Mail"-Service aktiv ist, blockiert er die MX-Löschung mit „wird von einem Service verwaltet" — vorher im IONOS-Mail-Bereich prüfen, ob ein Postfach/eine Weiterleitung existiert, und den Service ggf. deaktivieren, bevor die MX-Einträge gelöscht werden.

Noch offen: matrix (Mail-Satz + autodiscover.matrix + www.matrix → #0001), www.game (→ #0003), ftp (Ballast, falls ungenutzt).

Erledigt 2026-08-14 (Teil 2) — matrix & www.game

matrix.axion1337.de war bereits von sorb selbst entfernt (Plattform läuft unter axion1337.chat) — www.matrix damit automatisch mit weg (#0001 erledigt). A www.game gelöscht, extern bestätigt (#0003 erledigt).

Einziger Rest von #0005: ftp.axion1337.de (zeigt auf 217.160.233.227, IONOS-Hosting-Default) — noch nicht geprüft/gelöscht.