Domain-Check für DNS, Webserver und Zertifikat #7

New Issue

Das Issue hatte keinen Beschreibungstext; im Chat habe ich vorab abgestimmt, dass die Prüfung Ende zu Ende gehen soll — also nicht bloß DNS, Webserver und Zertifikat einzeln melden, sondern feststellen, ob die Domain tatsächlich bei dieser Installation ankommt.

Was geändert wurde

Auf Verwaltung → Domains steht bei jedem Eintrag ein Knopf Prüfen. Darunter erscheint ein Bericht mit vier Zeilen:

Schritt Beispiel

DNS löst auf 203.0.113.10

Zertifikat gültig bis 27.10.2026, ausgestellt von SSL Corporation

Erreichbar HTTP 200 nach 84 ms

Ziel diese Installation
Der letzte Schritt ist der eigentliche Wert. Die Anwendung ruft unter der Domain eine eigene Route auf und lässt sich einen HMAC über eine frische Zufallszahl zurückgeben. Das Geheimnis dafür entsteht beim ersten Check und verlässt den Server nie — so unterscheidet sich „zeigt irgendwohin“ von „zeigt hierher“.
Sprechende Fehlermeldungen statt Codes: abgelaufen, selbst ausgestellt, falscher Name, Zwischenzertifikat fehlt, Port 443 nimmt nichts an, „es antwortet etwas, aber nicht diese Anwendung“.
Läuft ein Zertifikat in ≤ 14 Tagen ab, gilt der Schritt als Warnung statt als Erfolg.
Scheitert schon DNS, fallen die drei Folgeschritte aus — dreimal dieselbe Meldung hätte die eine wichtige verdeckt.

Grenze der Aussage — steht so auch unter jedem Bericht: Der Aufruf startet dort, wo der Container läuft. Bei internem DNS oder Hairpin-NAT kann er scheitern, obwohl von außen alles stimmt; umgekehrt beweist ein Erfolg von innen nicht, dass die Domain von außen erreichbar ist.

Migration: 20260821010000_domain_check — eine Spalte checkSecret (leer, füllt sich beim ersten Check).

Geänderte Dateien

src/lib/domain-check.ts (neu)
src/app/api/domain-check/route.ts (neu)
src/app/api/admin/domains/[id]/check/route.ts (neu)
src/components/domain-bericht.tsx (neu)
src/components/domain-admin.tsx
prisma/schema.prisma + Migration
README.md, docs/sicherheit.md

So testest du es

git switch feat/7-domain-check
docker compose up -d --build app (die Migration läuft beim Start mit)
Verwaltung → Domains öffnen, bei einem Eintrag auf Prüfen klicken.
Erwartet bei einer richtig eingerichteten Domain: vier grüne Zeilen und „Die Domain führt hierher.“
Gegenprobe: eine Domain registrieren, die es nicht gibt (z. B. gibt-es-nicht.invalid) → DNS meldet den fehlenden A-Eintrag, der Rest fällt aus.
Zweite Gegenprobe: example.com registrieren → DNS und Zertifikat in Ordnung, aber „Es antwortet zwar etwas, aber nicht diese Anwendung“.

Geprüft mit einer eigenen Testreihe: 38 von 38 — Beweis-Route samt Fehlformen, alle drei Fälle oben, Oberfläche, Handy-Breite, keine Konsolenfehler.

Aufgewendete Zeit: 00:12
Pull Request: #15

Nach Freigabe: /issue-freigabe 7

Am Rande aufgefallen (kein eigenes Issue angelegt):

Die Kurzhilfe aus #4 nennt unter „Nachprüfen“ noch einen curl-Befehl. Sobald beide Zweige in main sind, gehört dort stattdessen ein Verweis auf diesen Knopf. Kleiner Handgriff, den ich gern nachziehe.
src/app/api/codes/route.ts mischt in einer Fehlermeldung ein typografisches „ mit einem geraden " — rein kosmetisch.

✅ **Umsetzung abgeschlossen — bereit zum Testen.**  Das Issue hatte keinen Beschreibungstext; im Chat habe ich vorab abgestimmt, dass die Prüfung **Ende zu Ende** gehen soll — also nicht bloß DNS, Webserver und Zertifikat einzeln melden, sondern feststellen, ob die Domain tatsächlich bei dieser Installation ankommt. **Was geändert wurde** - Auf **Verwaltung → Domains** steht bei jedem Eintrag ein Knopf **Prüfen**. Darunter erscheint ein Bericht mit vier Zeilen: | Schritt | Beispiel | | --- | --- | | DNS | `löst auf 203.0.113.10` | | Zertifikat | `gültig bis 27.10.2026, ausgestellt von SSL Corporation` | | Erreichbar | `HTTP 200 nach 84 ms` | | Ziel | `diese Installation` | - Der letzte Schritt ist der eigentliche Wert. Die Anwendung ruft unter der Domain eine eigene Route auf und lässt sich einen HMAC über eine frische Zufallszahl zurückgeben. Das Geheimnis dafür entsteht beim ersten Check und verlässt den Server nie — so unterscheidet sich „zeigt irgendwohin“ von „zeigt hierher“. - Sprechende Fehlermeldungen statt Codes: abgelaufen, selbst ausgestellt, falscher Name, Zwischenzertifikat fehlt, Port 443 nimmt nichts an, „es antwortet etwas, aber nicht diese Anwendung“. - Läuft ein Zertifikat in ≤ 14 Tagen ab, gilt der Schritt als Warnung statt als Erfolg. - Scheitert schon DNS, fallen die drei Folgeschritte aus — dreimal dieselbe Meldung hätte die eine wichtige verdeckt. **Grenze der Aussage** — steht so auch unter jedem Bericht: Der Aufruf startet dort, wo der Container läuft. Bei internem DNS oder Hairpin-NAT kann er scheitern, obwohl von außen alles stimmt; umgekehrt beweist ein Erfolg von innen nicht, dass die Domain von außen erreichbar ist. **Migration:** `20260821010000_domain_check` — eine Spalte `checkSecret` (leer, füllt sich beim ersten Check). **Geänderte Dateien** - `src/lib/domain-check.ts` (neu) - `src/app/api/domain-check/route.ts` (neu) - `src/app/api/admin/domains/[id]/check/route.ts` (neu) - `src/components/domain-bericht.tsx` (neu) - `src/components/domain-admin.tsx` - `prisma/schema.prisma` + Migration - `README.md`, `docs/sicherheit.md` **So testest du es** 1. `git switch feat/7-domain-check` 2. `docker compose up -d --build app` (die Migration läuft beim Start mit) 3. **Verwaltung → Domains** öffnen, bei einem Eintrag auf **Prüfen** klicken. 4. Erwartet bei einer richtig eingerichteten Domain: vier grüne Zeilen und „Die Domain führt hierher.“ 5. Gegenprobe: eine Domain registrieren, die es nicht gibt (z. B. `gibt-es-nicht.invalid`) → DNS meldet den fehlenden A-Eintrag, der Rest fällt aus. 6. Zweite Gegenprobe: `example.com` registrieren → DNS und Zertifikat in Ordnung, aber „Es antwortet zwar etwas, aber nicht diese Anwendung“. Geprüft mit einer eigenen Testreihe: **38 von 38** — Beweis-Route samt Fehlformen, alle drei Fälle oben, Oberfläche, Handy-Breite, keine Konsolenfehler. **Aufgewendete Zeit:** 00:12 **Pull Request:** #15 Nach Freigabe: `/issue-freigabe 7` --- **Am Rande aufgefallen** (kein eigenes Issue angelegt): - Die Kurzhilfe aus #4 nennt unter „Nachprüfen“ noch einen `curl`-Befehl. Sobald beide Zweige in `main` sind, gehört dort stattdessen ein Verweis auf diesen Knopf. Kleiner Handgriff, den ich gern nachziehe. - `src/app/api/codes/route.ts` mischt in einer Fehlermeldung ein typografisches „ mit einem geraden " — rein kosmetisch.

florian.wilde closed this issue

2026-08-21 08:53:24 +00:00

florian.wilde referenced this issue from a commit

2026-08-21 08:53:26 +00:00

Merge #7: Domain-Check für DNS, Webserver und Zertifikat

florian.wilde commented

2026-08-21 08:54:16 +00:00

🚀 Freigegeben und nach main übernommen.

Merge-Commit: 43a0504
Pull Request: #15 (gemergt)
Gesamtaufwand: 00:12

Konflikt mit #4, aufgelöst. Beide Zweige haben src/components/domain-admin.tsx angefasst — #4 den Kurzhilfe-Knopf, #7 den Prüfen-Knopf. Betroffen war am Ende nur der Importblock; beide Seiten wurden übernommen, keine Zeile der jeweils anderen geändert. Zusammengeführt per git merge main in den Zweig, nicht per Rebase — ein geteilter Zweig soll keinen Force-Push sehen.

Danach zur Sicherheit beide Testreihen nebeneinander laufen lassen: Kurzhilfe 24 von 24, Domain-Check 38 von 38. Typprüfung und Linter auf main: grün.

Issue wird geschlossen.

🚀 **Freigegeben und nach `main` übernommen.**  - Merge-Commit: `43a0504` - Pull Request: #15 (gemergt) - Gesamtaufwand: 00:12 **Konflikt mit #4, aufgelöst.** Beide Zweige haben `src/components/domain-admin.tsx` angefasst — #4 den Kurzhilfe-Knopf, #7 den Prüfen-Knopf. Betroffen war am Ende nur der Importblock; beide Seiten wurden übernommen, keine Zeile der jeweils anderen geändert. Zusammengeführt per `git merge main` in den Zweig, nicht per Rebase — ein geteilter Zweig soll keinen Force-Push sehen. Danach zur Sicherheit beide Testreihen nebeneinander laufen lassen: Kurzhilfe **24 von 24**, Domain-Check **38 von 38**. Typprüfung und Linter auf `main`: grün. Issue wird geschlossen.

florian.wilde removed the zu-testen label 2026-08-21 08:54:19 +00:00

florian.wilde referenced this issue

2026-08-21 09:00:59 +00:00

QR-Typen je Gruppe freigeben #11

florian.wilde referenced this issue from a commit

2026-08-21 09:27:20 +00:00

Version 1.7.0: Doku durchgesehen und Roadmap angeglichen

florian.wilde referenced this issue

2026-08-21 09:27:40 +00:00

Version 1.7.0: Dokumentation durchgesehen, Roadmap angeglichen #18

Sign in to join this conversation.