Files

T

Thore CimbalandClaude Opus 4.8 8f3bdc31a1 docs(issues): start #0001/#0003/#0005 — DNS zone cleanup verified

Verified current axion1337.de zone state via DoH: www.matrix/www.game are
IONOS-default records nothing serves (cluster routes .chat, no matching cert);
rohana is unhardened (no Null-MX/-all/reject) with www.rohana still present;
selendis mail-set untouched; matrix mail-set + autodiscover present; ftp is
IONOS-hosting ballast. Attached a consolidated per-name IONOS action list; the
mutations are sorb's to run in IONOS (no API access from here). Batch in-progress.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

2026-08-14 12:00:00 +00:00

4.7 KiB

Raw Blame History

type, id, status, created, milestone, priority, area, gitlab_iid, related

type

status

created

milestone

priority

area

gitlab_iid

issue

0005

in-progress

2026-08-01

low

infrastructure

ZONE-01: IONOS-Default-Records bereinigen (www-Paare, tote Mail-Sätze)

Import aus management#5 (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).

IONOS legt je Subdomain automatisch www.-Paare und komplette Mail-Sätze an (MX, SPF ~all, DKIM-CNAMEs, autodiscover) — auch für Hosts ohne Mail. Ungenutzte Subdomain mit gültigem MX + Softfail-SPF = Spoofing-Vektor; ohne MX weichen Absender per RFC 5321 auf A/AAAA aus. Richtig: explizit „keine Mail" erklären — Null-MX (RFC 7505), v=spf1 -all, _dmarc p=reject — statt ersatzlos löschen.

Stand: rohana + selendis in Arbeit (sorb setzt direkt um, seit 2026-07-30). Offen: matrix (Mail-Satz kann weg — MATRIX-01 hat verifiziert, dass weder Synapse noch MAS Mail versenden), www.game/www.matrix (GAME-02, MATRIX-03), ftp (zeigt auf IONOS-Hosting — Ballast, löschen falls ungenutzt).

⚠️ Beim SPF-Ändern bestehenden TXT editieren, nie zweiten anlegen (PermError). Nach Umsetzung verifizieren: www-Namen lösen nicht mehr auf, genau EIN SPF pro Name, A/AAAA von rohana/selendis unangetastet (Gitea/Grafana weiter per HTTPS erreichbar).

Detail-Rezepte pro Name (Löschen/Anlegen-Tabellen): Git-Historie von shared/zone-axion1337.md

Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).

Rezepte pro Name (aus dem Backlogs-Markdown übernommen)

rohana.axion1337.de

Löschen: A www.rohana, AAAA www.rohana Anlegen: MX rohana = . (Prio 0) · TXT rohana = v=spf1 -all · TXT _dmarc.rohana = v=DMARC1; p=reject; Nicht anfassen: A/AAAA rohana — daran hängen Gitea und das Zertifikat.

selendis.axion1337.de

Löschen: MX mx00/mx01.ionos.de, CNAME s1-ionos._domainkey, s2-ionos._domainkey, s42582890._domainkey, CNAME autodiscover.selendis, A/AAAA www.selendis Ändern: TXT selendis von v=spf1 include:_spf-eu.ionos.com ~all auf v=spf1 -all — bestehenden Record editieren, keinen zweiten anlegen (PermError!) Anlegen: MX selendis = . (Prio 0) · TXT _dmarc.selendis = v=DMARC1; p=reject; Vorab prüfen: ob im IONOS-Mail-Bereich Postfach/Weiterleitung für selendis existiert (dann entfallen die MX-Änderungen). Falls IONOS . als MX-Ziel ablehnt: MX weglassen, TXT reicht.

matrix.axion1337.de (entblockt durch MATRIX-01)

Gleiches Härtungsmuster wie selendis: kompletten IONOS-Mail-Satz entfernen, Null-MX + v=spf1 -all + _dmarc p=reject; autodiscover.matrix kann weg. (www.matrix → #1.)

In Arbeit 2026-08-14 — Ist-Stand verifiziert (DoH, extern)

Die frühere Notiz „rohana + selendis in Arbeit" ist überholt — tatsächlicher Zonenstand heute:

Name	MX	SPF (TXT)	_dmarc	www	Bewertung
rohana	—	—	—	`www.rohana` existiert (188.245.193.243)	Mail-Satz weg, aber ungehärtet (kein Null-MX/-all/reject = spoofbar); www offen
selendis	mx00/mx01.ionos	`~all` (softfail)	—	weg	IONOS-Mail-Satz noch komplett da — unangetastet
matrix	mx00/mx01.ionos	`~all`	—	`www.matrix` + `autodiscover.matrix`→adsredir.ionos	Mail-Satz + autodiscover + www offen (#0001)
game	—	—	—	`www.game` da (#0003)	Apex sauber (kein Mail-Satz), nur www weg
ftp	—	—	—	A → 217.160.233.227 (IONOS-Hosting)	Ballast, löschen falls ungenutzt

Konsolidierte Aktionsliste (IONOS-Panel/-API, nur sorb — ich habe keinen Zugang):

rohana: www.rohana löschen · Null-MX (. Prio 0) + TXT v=spf1 -all + _dmarc p=reject anlegen (aktuell ungeschützt!).
selendis: MX mx00/mx01 + DKIM-CNAMEs (s1-/s2-/s42582890-_domainkey) + autodiscover.selendis löschen · SPF-TXT editieren ~all→-all (keinen zweiten anlegen — PermError!) · Null-MX + _dmarc p=reject anlegen.
matrix: MX + autodiscover.matrix löschen · SPF ~all→-all editieren · Null-MX + _dmarc p=reject anlegen · www.matrix löschen (#0001).
game: www.game löschen (#0003). Apex ist bereits sauber.
ftp: A löschen, falls nichts darauf zeigt (IONOS-Hosting-Default).

Nach Umsetzung verifizieren: www-Namen lösen nicht mehr auf; genau EIN SPF pro Name; A/AAAA von rohana/selendis/matrix unangetastet (Gitea/Grafana/Matrix weiter per HTTPS). Ich checke die Außensicht per DoH gegen, sobald du durch bist.

4.7 KiB Raw Blame History