Thore CimbalandClaude Opus 4.8
8f3bdc31a1
Verified current axion1337.de zone state via DoH: www.matrix/www.game are IONOS-default records nothing serves (cluster routes .chat, no matching cert); rohana is unhardened (no Null-MX/-all/reject) with www.rohana still present; selendis mail-set untouched; matrix mail-set + autodiscover present; ftp is IONOS-hosting ballast. Attached a consolidated per-name IONOS action list; the mutations are sorb's to run in IONOS (no API access from here). Batch in-progress. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
77 lines
4.7 KiB
Markdown
77 lines
4.7 KiB
Markdown
---
|
|
type: issue
|
|
id: "0005"
|
|
status: in-progress
|
|
created: 2026-08-01
|
|
milestone: M2
|
|
priority: low
|
|
area: infrastructure
|
|
gitlab_iid: "5"
|
|
related: []
|
|
---
|
|
# ZONE-01: IONOS-Default-Records bereinigen (www-Paare, tote Mail-Sätze)
|
|
|
|
> Import aus [management#5](https://git.lab/axion1337.chat/management/-/issues/5) (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).
|
|
|
|
IONOS legt je Subdomain automatisch `www.`-Paare und komplette Mail-Sätze an
|
|
(MX, SPF ~all, DKIM-CNAMEs, autodiscover) — auch für Hosts ohne Mail. Ungenutzte
|
|
Subdomain mit gültigem MX + Softfail-SPF = Spoofing-Vektor; ohne MX weichen Absender
|
|
per RFC 5321 auf A/AAAA aus. Richtig: explizit „keine Mail" erklären — **Null-MX
|
|
(RFC 7505), `v=spf1 -all`, `_dmarc p=reject`** — statt ersatzlos löschen.
|
|
|
|
**Stand:** `rohana` + `selendis` in Arbeit (sorb setzt direkt um, seit 2026-07-30).
|
|
Offen: `matrix` (Mail-Satz kann weg — MATRIX-01 hat verifiziert, dass weder Synapse
|
|
noch MAS Mail versenden), `www.game`/`www.matrix` (GAME-02, MATRIX-03), `ftp` (zeigt
|
|
auf IONOS-Hosting — Ballast, löschen falls ungenutzt).
|
|
|
|
⚠️ Beim SPF-Ändern **bestehenden TXT editieren**, nie zweiten anlegen (PermError).
|
|
Nach Umsetzung verifizieren: www-Namen lösen nicht mehr auf, genau EIN SPF pro Name,
|
|
A/AAAA von rohana/selendis unangetastet (Gitea/Grafana weiter per HTTPS erreichbar).
|
|
|
|
Detail-Rezepte pro Name (Löschen/Anlegen-Tabellen): Git-Historie von
|
|
[shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/blob/main/shared/zone-axion1337.md)
|
|
|
|
---
|
|
*Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*
|
|
|
|
---
|
|
|
|
## Rezepte pro Name (aus dem Backlogs-Markdown übernommen)
|
|
|
|
### rohana.axion1337.de
|
|
**Löschen:** `A www.rohana`, `AAAA www.rohana`
|
|
**Anlegen:** MX `rohana` = `.` (Prio 0) · TXT `rohana` = `v=spf1 -all` · TXT `_dmarc.rohana` = `v=DMARC1; p=reject;`
|
|
**Nicht anfassen:** `A`/`AAAA rohana` — daran hängen Gitea und das Zertifikat.
|
|
|
|
### selendis.axion1337.de
|
|
**Löschen:** `MX mx00/mx01.ionos.de`, `CNAME s1-ionos._domainkey`, `s2-ionos._domainkey`, `s42582890._domainkey`, `CNAME autodiscover.selendis`, `A`/`AAAA www.selendis`
|
|
**Ändern:** TXT `selendis` von `v=spf1 include:_spf-eu.ionos.com ~all` auf `v=spf1 -all` — **bestehenden Record editieren, keinen zweiten anlegen** (PermError!)
|
|
**Anlegen:** MX `selendis` = `.` (Prio 0) · TXT `_dmarc.selendis` = `v=DMARC1; p=reject;`
|
|
**Vorab prüfen:** ob im IONOS-Mail-Bereich Postfach/Weiterleitung für `selendis` existiert (dann entfallen die MX-Änderungen). Falls IONOS `.` als MX-Ziel ablehnt: MX weglassen, TXT reicht.
|
|
|
|
### matrix.axion1337.de (entblockt durch MATRIX-01)
|
|
Gleiches Härtungsmuster wie selendis: kompletten IONOS-Mail-Satz entfernen, Null-MX + `v=spf1 -all` + `_dmarc p=reject`; `autodiscover.matrix` kann weg. (`www.matrix` → #1.)
|
|
|
|
## In Arbeit 2026-08-14 — Ist-Stand verifiziert (DoH, extern)
|
|
|
|
Die frühere Notiz „rohana + selendis in Arbeit" ist überholt — tatsächlicher Zonenstand heute:
|
|
|
|
| Name | MX | SPF (TXT) | _dmarc | www | Bewertung |
|
|
|---|---|---|---|---|---|
|
|
| rohana | — | — | — | `www.rohana` **existiert** (188.245.193.243) | Mail-Satz weg, aber **ungehärtet** (kein Null-MX/-all/reject = spoofbar); www offen |
|
|
| selendis | mx00/mx01.ionos | `~all` (softfail) | — | weg | **IONOS-Mail-Satz noch komplett da** — unangetastet |
|
|
| matrix | mx00/mx01.ionos | `~all` | — | `www.matrix` + `autodiscover.matrix`→adsredir.ionos | Mail-Satz + autodiscover + www offen (#0001) |
|
|
| game | — | — | — | `www.game` da (#0003) | Apex sauber (kein Mail-Satz), nur www weg |
|
|
| ftp | — | — | — | A → 217.160.233.227 (IONOS-Hosting) | Ballast, löschen falls ungenutzt |
|
|
|
|
**Konsolidierte Aktionsliste (IONOS-Panel/-API, nur sorb — ich habe keinen Zugang):**
|
|
- **rohana**: `www.rohana` löschen · Null-MX (`.` Prio 0) + TXT `v=spf1 -all` + `_dmarc p=reject` **anlegen** (aktuell ungeschützt!).
|
|
- **selendis**: MX mx00/mx01 + DKIM-CNAMEs (`s1-/s2-/s42582890-_domainkey`) + `autodiscover.selendis` löschen · SPF-TXT **editieren** `~all`→`-all` (keinen zweiten anlegen — PermError!) · Null-MX + `_dmarc p=reject` anlegen.
|
|
- **matrix**: MX + `autodiscover.matrix` löschen · SPF `~all`→`-all` editieren · Null-MX + `_dmarc p=reject` anlegen · `www.matrix` löschen (#0001).
|
|
- **game**: `www.game` löschen (#0003). Apex ist bereits sauber.
|
|
- **ftp**: A löschen, falls nichts darauf zeigt (IONOS-Hosting-Default).
|
|
|
|
**Nach Umsetzung verifizieren:** www-Namen lösen nicht mehr auf; genau EIN SPF pro Name; A/AAAA
|
|
von rohana/selendis/matrix unangetastet (Gitea/Grafana/Matrix weiter per HTTPS). Ich checke die
|
|
Außensicht per DoH gegen, sobald du durch bist.
|