docs: DNS via wint client area and DKIM setup notes

Document mail TXT records in the customer login, correct _domainkey
value format, and update todo 02 for DKIM DNS propagation.

Co-authored-by: Cursor <cursoragent@cursor.com>

HOSTING.md

@@ -42,33 +42,39 @@ DNS-Einträge nur für Domains mit Bezug zum Paket oder über wint.global bestel
 
 Domain-Delegation kann nach Registration bis zu **24 Stunden** dauern. Bis dahin ggf. temporäre URL aus dem Kundenbereich nutzen.
 
-### DNS-Zugang (Classic 1.0)
+### DNS bearbeiten (wint Kundenbereich)
 
-Bei wint.global liegt die **DNS-Zone oft beim Hoster** (`ns1.org-ns.com`), nicht beim Kunden in Plesk. SPF und DMARC sind gesetzt; **DKIM-TXT-Records fehlen öffentlich**, obwohl DKIM in Plesk aktiviert ist — typisch, wenn der Hoster DNS pflegt und die Mail-Records nicht synchronisiert hat.
+DNS ist **nicht** in Plesk, sondern im **wint.global Kundenlogin**:
 
-**Du musst DNS nicht selbst pflegen.** Optionen:
+| | |
+|---|---|
+| URL | [https://login.wint.global/clientarea.php](https://login.wint.global/clientarea.php) |
+| Navigation | Domain `0012.de` → DNS-Einträge / DNS verwalten |
+| Nameserver | `ns1.org-ns.com`, `ns2.org-ns.com` (vom Hoster) |
 
-1. **Support-Ticket** an support@wint.global — DKIM-DNS für `0012.de` hinterlegen (siehe unten)
-2. **Workaround:** `ALERT_EMAIL` auf Gmail o. ä. setzen, solange Tuta/strenge Empfänger blockieren
+Propagation nach Änderungen: üblicherweise Minuten bis **24 h**.
 
-#### Support-Ticket (DKIM)
+#### Mail-DNS für 0012.de (Stand 2026-06-12)
 
-In Plesk (ohne DNS-Rechte geht das trotzdem):
+| Host / Name | Typ | TXT-Wert (nur Inhalt, keine Anführungszeichen im UI) |
+|-------------|-----|------------------------------------------------------|
+| `0012.de` | TXT | `v=spf1 a mx include:spf-a.org-dns.com -all` |
+| `_dmarc.0012.de` | TXT | `v=DMARC1; p=none;` |
+| `default._domainkey.0012.de` | TXT | `v=DKIM1; p=…` (Public Key aus Plesk → „Externe DNS konfigurieren“) |
+| `_domainkey.0012.de` | TXT | `o=-` (DKIM-Policy aus Plesk) |
 
-**Mail → Mail-Einstellungen → „Externe DNS konfigurieren“** — zwei TXT-Records kopieren und an den Support schicken, z. B.:
+**Plesk:** Mail → Mail-Einstellungen → DKIM aktiv, Selektor **`default`** → „Konfiguration des externen DNS“.
 
-> Bitte folgende TXT-Records für 0012.de in der DNS-Zone ergänzen (DKIM ist in Plesk aktiv, Records fehlen in DNS):
->
-> - `default._domainkey.0012.de` → *(Wert aus Plesk)*
-> - `_domainkey.0012.de` → *(Wert aus Plesk)*
+**Wichtig beim Eintragen:** In den wint-Maske **nur den TXT-Inhalt** einfügen — nicht die komplette Zone-Zeile (`… IN TXT "…"`). Für `_domainkey.0012.de` muss der Wert z. B. `o=-` sein, nicht `_domainkey.0012.de. IN TXT "o=-"`.
 
-Prüfung danach:
+Prüfung (wenn propagiert):
 
 ```bash
 dig +short TXT default._domainkey.0012.de @ns1.org-ns.com
+dig +short TXT _domainkey.0012.de @ns1.org-ns.com
 ```
 
-Kundennummer **26064** angeben.
+Stand DNS-Abfrage direkt nach Eintrag: noch leer → **24 h abwarten**, dann erneut prüfen und Testmail an Tuta.
 
 ## TLS / HTTPS
 
@@ -116,7 +122,7 @@ Webmail / SMTP-Auth: immer die **Hauptadresse** + Postfach-Passwort, nicht den A
 | | Status |
 |---|--------|
 | **SPF** | ✅ gesetzt (Hoster) — nichts tun |
-| **DKIM** | ⚠️ in Plesk an, **DNS-Record fehlt** — Support-Ticket (kein DNS-Zugang) |
+| **DKIM** | In Plesk aktiv; DNS in [wint Kundenbereich](https://login.wint.global/clientarea.php) gesetzt (2026-06-12) — Propagation abwarten |
 | **DMARC** | ✅ `v=DMARC1;p=none;` (Hoster) — nichts tun |
 
 DMARC ist optional zum Start (`p=none` = nur Reports, keine Ablehnung). Erst nach SPF/DKIM-Stabilisierung auf `quarantine`/`reject` erhöhen. Optional `rua=mailto:admin@0012.de` für Aggregate-Reports ergänzen.

todo/02-email-smtp.md

@@ -38,7 +38,7 @@ Relay von **boka** → ausgelagert nach [`11-boka-smtp-relay.md`](11-boka-smtp-r
 - [x] Port 587 + STARTTLS getestet (`php scripts/test-mail.php` → OK)
 - [x] SPF gesetzt (Hoster-DNS)
 - [x] DKIM in Plesk aktiviert
-- [ ] DKIM in **öffentlicher DNS** — fehlt; Hoster per Ticket (kein DNS-Zugang im Paket)
+- [ ] DKIM in **öffentlicher DNS** — eingetragen im wint-Kundenbereich (2026-06-12), Propagation prüfen nach ~24 h
 - [x] DMARC vorhanden (Hoster-DNS)
 
 ### Technische Notizen
@@ -47,7 +47,7 @@ Relay von **boka** → ausgelagert nach [`11-boka-smtp-relay.md`](11-boka-smtp-r
 - **Test lokal:** `php scripts/test-mail.php` (liest `.env`)
 - **Test vom Webspace:** `mail-test.php?token=…` (liest `private/server.env`)
 - **Tuta/strenge Empfänger:** bis DKIM-DNS steht → `ALERT_EMAIL` Gmail o. ä.
-- **Kein DNS-Zugang:** DKIM-Records aus Plesk Mail-Einstellungen an wint-Support — siehe [`../HOSTING.md`](../HOSTING.md#dns-zugang-classic-10)
+- **Kein DNS in Plesk:** Einträge im [wint Kundenlogin](https://login.wint.global/clientarea.php) — siehe [`../HOSTING.md`](../HOSTING.md#dns-bearbeiten-wint-kundenbereich)
 
 ## `.env` (Beispiel)