Thore CimbalandClaude Opus 4.8
c6ea585643
#0023 (Docusaurus navbar logo) is moot since Wiki.js replaced Docusaurus (ADR-0014) -> rejected. #0007 (cert renewal, due 2026-09-28) gets a concrete plan: pursue DNS-01 (approach B, already recommended) before mid-September, with the port-opening fallback A as a dated calendar checkpoint. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2.7 KiB
type, id, status, created, milestone, priority, due, host, gitlab_iid, related
| type | id | status | created | milestone | priority | due | host | gitlab_iid | related |
|---|---|---|---|---|---|---|---|---|---|
| issue | 0007 | next | 2026-08-01 | M1 | high | 2026-09-28 | cfgmon | 7 |
CFGMON-01: Zertifikatserneuerung braucht offene Ports — zeitkritisch ab 2026-09-28
Import aus management#7 (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).
Certs für selendis/rohana laufen am 2026-10-28 ab; Traefik erneuert ab
Ende September via TLS-ALPN-01 — braucht Port 443 offen aus dem ganzen Internet
(LE veröffentlicht keine Validierungs-IPs, Multi-Perspective-Validation). Der
Normalzustand der Umgebung (443 auf eigene IP beschränkt) lässt die Erneuerung
still scheitern → Self-Signed-Default-Cert. IPv6-Pfad ist geprüft frei
(::/0 separat in der Hetzner-Firewall-Regel; 0.0.0.0/0 deckt IPv6 NICHT ab) —
die September-Erneuerung ist aber der erste Lauf, der IPv6 überhaupt versucht.
Entscheidung nötig:
- A — Ports offen lassen bzw. zur Erneuerung öffnen (Kalendereintrag Mitte September, nicht aufs Ablaufdatum!)
- B — auf DNS-01 umstellen (empfohlen): TXT-Validierung, kein offener Port, ermöglicht Wildcards. Braucht IONOS-API-Token als Traefik-Secret; Voraussetzung (versionierter Traefik-Stack) ist seit CFGMON-02 erfüllt.
Quelle: hosts/cfgmon.md
Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).
Plan (2026-08-14) — eingeplant
Weg B (DNS-01) umsetzen — im Issue bereits als empfohlen markiert: entfernt die Port-Fenster-Abhängigkeit komplett (kein offener 443, keine Unsicherheit beim IPv6-Erstlauf) und ermöglicht Wildcards; die Voraussetzung (versionierter Traefik-Stack) ist seit CFGMON-02 erfüllt. Ausführung terminlich vor Mitte September (Puffer vor Ablauf 2026-10-28).
Schritte (B):
- IONOS-API-Token als Traefik-Secret hinterlegen (SOPS-verschlüsselt).
- Traefik-ACME-Resolver auf DNS-01 (IONOS-Provider) umstellen, committen → ausrollen.
- Test-Erneuerung erzwingen; TXT-Record-Setzung + ausgestelltes Cert für
selendis/rohanaprüfen (kein Self-Signed-Fallback). - Erst nach erfolgreichem DNS-01-Cert die verbliebene 443-Ausnahme schließen.
Fallback A (Ports öffnen) — nur falls B verworfen wird: Kalender-Checkpoint Mitte
September (NICHT aufs Ablaufdatum warten). 443 für 0.0.0.0/0 und ::/0 öffnen
(IPv6 separat!), Erneuerung + IPv6-Erstlauf beobachten, danach wieder schließen.
Status bleibt next; die eigentliche Umstellung ist ein separater Go (Infra-Änderung).