记录安全边界与反代复核进度

补充双机回环监听、Nginx 80/443 反代、邮件 Web 上游边界和当前生产验收阻塞项的非敏感实机证据。

doc/Scert整改任务执行清单.md

@@ -1765,3 +1765,14 @@ P0-05 从 `[!]` 调整为 `[~]`，并未标记完成；P0-04 剩余门禁和全
 - [x] 已完成，等待复审：Scert、MySQL 和 MySQL X Protocol 均保持回环监听；公网项目入口仅使用 Nginx 80/443。
 - [x] 已完成，等待复审：绕过本机代理直连检查内部端口不可达，排除代理造成的端口探测误报。
 - [!] 暂缓或存在阻塞：整体生产验收仍等待发信、密码重置、完整 Web 流程、历史事务和最终清库首次部署等门禁闭环。
+
+## 2026年10月1日安全边界与反代复核
+
+本轮只记录不含认证信息的实机结果；不记录服务器口令、RAM 密钥、数据库密码、邮件服务密码、私钥、令牌或一次性链接。用户要求的安全边界解释为：Scert 管理入口不得绕过 Nginx 对公网提供服务，公开入口只使用 Nginx `80/443`。
+
+- [✓] 双机 `Scert.service`、证书目录 socket、Nginx 和数据库服务均处于运行状态；两台 Scert 均只监听 `127.0.0.1:8443`，数据库端口只监听回环地址。
+- [✓] 双机 Nginx 配置检查通过；第二台 `odacm.cn` 本机反代复核为 HTTP `301` 跳转 HTTPS，`/readyz` 返回 HTTP `200` 和 `status=ready`。
+- [✓] 第一台已确认 `8443`、`9998`、`9999` 的拒绝规则位于宽范围规则之前；第二台入站默认拒绝，邮件 Web 上游端口仅保留本机来源规则，不作为公网 Scert 管理入口。
+- [✓] 本轮未停止或删除 Smail/PMail，不修改邮件协议端口；邮件 Web 继续由 Nginx 站点代理，Scert 验收只认 `80/443`。
+- [!] Scert 日志仍保留两条历史 `recovery_required` 事务的证据不足错误；不得清理、改写或伪造终态，P0-10 和总体生产验收继续阻塞。
+- [~] 当前安全入口子项可复审；完整三数据库 Web 流程、系统账户真实发信、验证码重置、P0-10 负向实机矩阵和干净候选包最终门禁仍未完成。

doc/Scert整改合并优化清单.md

@@ -2399,3 +2399,13 @@ P0-11 生产验收门禁
 - [x] 已完成，等待复审：升级过程中未停止 Nginx，未新增外部业务端口；安装器停服保护、安装事务和服务恢复均按正式流程执行。
 - [!] 暂缓或存在阻塞：第一台现有 Nginx 站点使用既有业务域名和证书，公网 DNS `odacm.cn` 当前指向第二台；因此本轮不把第一台伪造为 `odacm.cn` 公网入口，也未替换第一台现有证书或站点配置。
 - [!] 暂缓或存在阻塞：整体生产验收仍受 SMTP 实际发信、密码重置、完整 Web 矩阵、历史恢复事务核查、MySQL 5.7、DNS/ACME 和最终清库首次部署等门禁限制。
+
+## 2026年10月1日安全边界与反代复核
+
+本轮只记录非敏感实机证据，不记录任何认证信息。生产入口继续遵循“公网只使用 Nginx `80/443`，Scert 和数据库只走回环地址”的约束。
+
+- [✓] 双机 Scert 均绑定 `127.0.0.1:8443`，数据库只绑定回环地址，Nginx 配置测试通过。
+- [✓] 第二台 `odacm.cn` 的 HTTP 自动跳转和 HTTPS `/readyz` 已在服务器本机通过严格 TLS 复核；第一台保留现有业务域名，不伪造为 `odacm.cn`。
+- [✓] 第二台邮件 Web 服务仍由现有 Nginx 站点反代，未把邮件服务端口作为 Scert 管理入口；本轮未停用、删除或改写 Smail/PMail 数据。
+- [!] 历史恢复事务证据不足仍由产品保守策略拦截，不能人工改终态；总体生产验收不放行。
+- [~] 安全入口子项完成待复审；三数据库 Web 流程、系统账户发信、密码重置、P0-10 实机负向矩阵和最终候选包仍待完成。