feat: SMTP mail stack and separate server.env deploy

Add mail.php with STARTTLS sending, test scripts, server.env split from
local .env, admin@ postbox docs, DKIM DNS support-ticket notes, and todo 11
for boka relay.

Co-authored-by: Cursor <cursoragent@cursor.com>

HOSTING.md

@@ -42,6 +42,34 @@ DNS-Einträge nur für Domains mit Bezug zum Paket oder über wint.global bestel
 
 Domain-Delegation kann nach Registration bis zu **24 Stunden** dauern. Bis dahin ggf. temporäre URL aus dem Kundenbereich nutzen.
 
+### DNS-Zugang (Classic 1.0)
+
+Bei wint.global liegt die **DNS-Zone oft beim Hoster** (`ns1.org-ns.com`), nicht beim Kunden in Plesk. SPF und DMARC sind gesetzt; **DKIM-TXT-Records fehlen öffentlich**, obwohl DKIM in Plesk aktiviert ist — typisch, wenn der Hoster DNS pflegt und die Mail-Records nicht synchronisiert hat.
+
+**Du musst DNS nicht selbst pflegen.** Optionen:
+
+1. **Support-Ticket** an support@wint.global — DKIM-DNS für `0012.de` hinterlegen (siehe unten)
+2. **Workaround:** `ALERT_EMAIL` auf Gmail o. ä. setzen, solange Tuta/strenge Empfänger blockieren
+
+#### Support-Ticket (DKIM)
+
+In Plesk (ohne DNS-Rechte geht das trotzdem):
+
+**Mail → Mail-Einstellungen → „Externe DNS konfigurieren“** — zwei TXT-Records kopieren und an den Support schicken, z. B.:
+
+> Bitte folgende TXT-Records für 0012.de in der DNS-Zone ergänzen (DKIM ist in Plesk aktiv, Records fehlen in DNS):
+>
+> - `default._domainkey.0012.de` → *(Wert aus Plesk)*
+> - `_domainkey.0012.de` → *(Wert aus Plesk)*
+
+Prüfung danach:
+
+```bash
+dig +short TXT default._domainkey.0012.de @ns1.org-ns.com
+```
+
+Kundennummer **26064** angeben.
+
 ## TLS / HTTPS
 
 Konfiguration in Plesk (Stand 2026-06-11):
@@ -73,10 +101,32 @@ curl -sI https://0012.de/  # → 200, HSTS-Header
 
 **Sicherheit:** Nach 5 fehlgeschlagenen Login-Versuchen wird die Client-IP für 10 Minuten gesperrt (FTP, Webmail, E-Mail).
 
+### Postfächer 0012.de (Stand 2026-06-11)
+
+| Adresse | Rolle |
+|---------|--------|
+| `admin@0012.de` | Hauptpostfach, **SMTP-Login** für Skripte |
+| `monitor@0012.de` | Alias — Absender Monitoring (`SMTP_FROM`) |
+| `alert@0012.de` | Alias — optional alternativer Absender |
+
+Webmail / SMTP-Auth: immer die **Hauptadresse** + Postfach-Passwort, nicht den Alias-Namen allein.
+
+### Authentifizierung (SPF / DKIM / DMARC)
+
+| | Status |
+|---|--------|
+| **SPF** | ✅ gesetzt (Hoster) — nichts tun |
+| **DKIM** | ⚠️ in Plesk an, **DNS-Record fehlt** — Support-Ticket (kein DNS-Zugang) |
+| **DMARC** | ✅ `v=DMARC1;p=none;` (Hoster) — nichts tun |
+
+DMARC ist optional zum Start (`p=none` = nur Reports, keine Ablehnung). Erst nach SPF/DKIM-Stabilisierung auf `quarantine`/`reject` erhöhen. Optional `rua=mailto:admin@0012.de` für Aggregate-Reports ergänzen.
+
+Prüfung: [mail-tester.com](https://www.mail-tester.com) oder Test mit `php scripts/test-mail.php`.
+
 ### Geplante Nutzung
 
-1. **Monitoring-Alerts** — z. B. `monitor@0012.de` → persönliche Adresse
-2. **SMTP für Skripte** — boka und andere Hosts senden über TLS/587 (Relay nur für autorisierte Absender konfigurieren)
+1. **Monitoring-Alerts** — `monitor@0012.de` → `ALERT_EMAIL` via `sendAlert()` in `config/mail.php`
+2. **SMTP von boka** — siehe [`todo/11-boka-smtp-relay.md`](todo/11-boka-smtp-relay.md)
 3. **Mail-Hosting** — Postfächer für Domains ohne eigenen Mailserver (MX auf 0012.de bzw. wint-NS)
 
 ## Geplante Aufgaben (Cron)