docs: DMARC p=quarantine and Tutanota blacklist note

Document upgraded DMARC policy and known delivery failure to Tuta-hosted
addresses from the 0012.de mail server; no remediation planned yet.

Co-authored-by: Cursor <cursoragent@cursor.com>

HOSTING.md

@@ -59,7 +59,7 @@ Propagation nach Änderungen: üblicherweise Minuten bis **24 h**.
 | Host / Name | Typ | TXT-Wert (nur Inhalt, keine Anführungszeichen im UI) |
 |-------------|-----|------------------------------------------------------|
 | `0012.de` | TXT | `v=spf1 a mx include:spf-a.org-dns.com -all` |
-| `_dmarc.0012.de` | TXT | `v=DMARC1; p=none;` |
+| `_dmarc.0012.de` | TXT | `v=DMARC1; p=quarantine;` |
 | `default._domainkey.0012.de` | TXT | `v=DKIM1; p=…` (Public Key aus Plesk → „Externe DNS konfigurieren“) |
 | `_domainkey.0012.de` | TXT | `o=-` (DKIM-Policy aus Plesk) |
 
@@ -123,12 +123,26 @@ Webmail / SMTP-Auth: immer die **Hauptadresse** + Postfach-Passwort, nicht den A
 |---|--------|
 | **SPF** | ✅ gesetzt (Hoster) — nichts tun |
 | **DKIM** | In Plesk aktiv; DNS in [wint Kundenbereich](https://login.wint.global/clientarea.php) gesetzt (2026-06-12) — Propagation abwarten |
-| **DMARC** | ✅ `v=DMARC1;p=none;` (Hoster) — nichts tun |
+| **DMARC** | ✅ `v=DMARC1; p=quarantine;` (wint DNS, 2026-06-12) |
 
-DMARC ist optional zum Start (`p=none` = nur Reports, keine Ablehnung). Erst nach SPF/DKIM-Stabilisierung auf `quarantine`/`reject` erhöhen. Optional `rua=mailto:admin@0012.de` für Aggregate-Reports ergänzen.
+DMARC-Policy seit 2026-06-12 auf `p=quarantine` (fehlgeschlagene Auth → Spam/Quarantäne beim Empfänger). Optional später `p=reject` und `rua=mailto:admin@0012.de` für Aggregate-Reports.
 
 Prüfung: [mail-tester.com](https://www.mail-tester.com) oder Test mit `php scripts/test-mail.php`.
 
+### Bekannte Einschränkung: Tutanota-Blacklist
+
+Ausgehende Mails vom 0012.de-Mailserver (`ha01s019.org-dns.com`) werden von **Tutanota** mit Absender-IP-Blacklist abgewiesen:
+
+```
+<admin@schwenk.online>: host mail.tutanota.de[185.205.69.213] said: 554 5.7.1
+    <admin@schwenk.online>: Recipient address rejected: Sender address rejected
+    (blacklisted) (in reply to RCPT TO command)
+```
+
+**Stand:** bekannt, vorerst **kein Fix** geplant (Delisting beim Hoster/Tuta prüfen, wenn Mail an `@tutanota.de` / Tuta-gehostete Adressen nötig wird).
+
+**Workaround:** `ALERT_EMAIL` und Testempfänger auf Provider ohne diese Sperre legen (z. B. Gmail) — siehe [`todo/02-email-smtp.md`](todo/02-email-smtp.md).
+
 ### Geplante Nutzung
 
 1. **Monitoring-Alerts** — `monitor@0012.de` → `ALERT_EMAIL` via `sendAlert()` in `config/mail.php`

todo/02-email-smtp.md

@@ -39,7 +39,7 @@ Relay von **boka** → ausgelagert nach [`11-boka-smtp-relay.md`](11-boka-smtp-r
 - [x] SPF gesetzt (Hoster-DNS)
 - [x] DKIM in Plesk aktiviert
 - [ ] DKIM in **öffentlicher DNS** — eingetragen im wint-Kundenbereich (2026-06-12), Propagation prüfen nach ~24 h
-- [x] DMARC vorhanden (Hoster-DNS)
+- [x] DMARC `p=quarantine` (wint DNS, 2026-06-12)
 
 ### Technische Notizen
 
@@ -47,6 +47,7 @@ Relay von **boka** → ausgelagert nach [`11-boka-smtp-relay.md`](11-boka-smtp-r
 - **Test lokal:** `php scripts/test-mail.php` (liest `.env`)
 - **Test vom Webspace:** `mail-test.php?token=…` (liest `private/server.env`)
 - **Tuta/strenge Empfänger:** bis DKIM-DNS steht → `ALERT_EMAIL` Gmail o. ä.
+- **Tuta-Blacklist (2026-06-12):** Ausgehende IP des 0012.de-Mailservers ist bei Tutanota gesperrt — Zustellung an `admin@schwenk.online` (und vermutlich andere Tuta-Adressen) schlägt mit `554 … Sender address rejected (blacklisted)` fehl. Vorerst akzeptiert; `ALERT_EMAIL` nicht auf Tuta setzen. Details: [`../HOSTING.md`](../HOSTING.md#bekannte-einschränkung-tutanota-blacklist)
 - **Kein DNS in Plesk:** Einträge im [wint Kundenlogin](https://login.wint.global/clientarea.php) — siehe [`../HOSTING.md`](../HOSTING.md#dns-bearbeiten-wint-kundenbereich)
 
 ## `.env` (Beispiel)