diff --git a/BACKLOG.md b/BACKLOG.md
index 84712ba..2179e5e 100644
--- a/BACKLOG.md
+++ b/BACKLOG.md
@@ -30,6 +30,14 @@ Eine IP-Allowlist für die Let's-Encrypt-Server ist **keine** Option: LE
 veröffentlicht seine Validierungs-IPs nicht und prüft seit Einführung der
 Multi-Perspective Validation aus mehreren Regionen gleichzeitig.
 
+**IPv6 beachten (Stand 2026-07-30):** `rohana`, `www.rohana` und `selendis` haben
+inzwischen AAAA-Records auf `2a01:4f8:c17:93eb::1`. Damit validiert Let's Encrypt
+**bevorzugt über IPv6**. Die Hetzner-Cloud-Firewall braucht für Port 443 deshalb
+eine Regel mit Quelle `::/0` — `0.0.0.0/0` deckt IPv6 **nicht** mit ab. Fehlt sie,
+scheitert die Erneuerung, obwohl IPv4 offen ist. Vom Host aus lässt sich das nicht
+verifizieren (Verbindung auf die eigene öffentliche Adresse läuft lokal), das muss
+in der Hetzner-Konsole geprüft werden.
+
 Zwei Wege:
 
 - **A — Port 443 zur Erneuerung öffnen.** Nichts umbauen, aber alle ~60 Tage
@@ -44,6 +52,22 @@ Zwei Wege:
 **Nächster Schritt:** Entscheidung A oder B. Bei B: DNS-Provider benennen und
 API-Token bereitstellen, dann Traefik-Resolver umstellen.
 
+### Nebenpunkt: `www.rohana.axion1337.de` löschen
+
+Der Record (A + AAAA) wurde nach IONOS-Default-Muster angelegt. Bei einer
+Subdomain ist ein `www.`-Präfix überflüssig — das Muster gilt für Apex-Domains
+(`axion1337.de` / `www.axion1337.de`, dort bei IONOS sinnvoll). `rohana` ist
+bereits der Hostname des Dienstes.
+
+Aktueller Zustand: kein Traefik-Router matcht den Namen, Traefik liefert sein
+`TRAEFIK DEFAULT CERT` aus, TLS bricht mit Zertifikatsfehler ab. Der Name
+funktioniert also ohnehin nicht.
+
+**Empfehlung:** A- und AAAA-Record für `www.rohana` löschen. Es geht nichts
+verloren. Die Alternative — Router plus Cert-SAN für den zweiten Namen — bedeutet
+mehr Teile, die bei jeder Erneuerung mitvalidieren müssen, ohne Nutzen. Für
+`selendis` aus demselben Grund kein `www.` anlegen.
+
 ---
 
 ## 2. Pterodactyl-Host 157.90.155.206 nicht erreichbar — 2 Prometheus-Targets down