diff --git a/doc/Linux生产流程测试记录.md b/doc/Linux生产流程测试记录.md
index 593142b..3643c74 100644
--- a/doc/Linux生产流程测试记录.md
+++ b/doc/Linux生产流程测试记录.md
@@ -3174,4 +3174,23 @@ SQLite 新测试程序 SHA-256：4c81656fae63a2eebad999d58e6a79e63e6f441810e02ce
 
 ### 验收边界
 
-本节只证明当前工作区的后端、前端回归和生产构建状态；不证明第一台 SMTP、验证码、密码重置、第二台 SSL 推送回滚或公网 HTTPS/SNI 已完成。
\ No newline at end of file
+本节只证明当前工作区的后端、前端回归和生产构建状态；不证明第一台 SMTP、验证码、密码重置、第二台 SSL 推送回滚或公网 HTTPS/SNI 已完成。
+## 2026年10月5日 第一台入口诊断补充
+
+### 本轮实测
+
+- [✓] 通过 Cloudflare 和 Google 公共 DoH 查询，确认 `odacm.cn` 公网 A 记录为 `8.137.23.95`。
+- [✓] 第一台 `8.137.23.95:80` 可达，返回 `nginx/1.30.5` 和 `301`，将 `/readyz` 重定向到 HTTPS。
+- [!] 第一台 `8.137.23.95:443` 的严格 TLS 握手失败，尚未取得证书或 HTTP 响应。
+- [!] 对 443 端口发送普通 HTTP 请求返回 `Server: Beaver`、`403 Forbidden`，说明前置网关/TLS 路由仍未形成可验收的 `odacm.cn` HTTPS 入口。
+- [!] SSH 主机指纹匹配且 22 端口可达；服务器当前仅继续提供密码认证，公钥认证被拒绝，未重复猜测或记录密码。
+
+### 任务状态
+
+- [✓] 公网 DNS 指向第一台已复核。
+- [~] 第一台 HTTPS/SNI 前置路由和受控 SSH 登录仍待修复或提供有效授权。
+- [ ] 第一台 SMTP 真实通知、验证码、受保护重置、新密码登录和旧会话失效闭环。
+- [ ] 第二台正式 SSL 推送、Nginx reload、失败回滚和幂等验证。
+- [!] Linux 总体生产上线验收继续未通过。
+
+本节不记录密码、授权码、Cookie、令牌或私钥；不使用不安全 TLS 绕过方式，Windows 环境不在本轮范围。
\ No newline at end of file
diff --git a/doc/Scert整改任务执行清单.md b/doc/Scert整改任务执行清单.md
index 0305b3e..94df4b2 100644
--- a/doc/Scert整改任务执行清单.md
+++ b/doc/Scert整改任务执行清单.md
@@ -3050,4 +3050,23 @@ P0-05 从 `[!]` 调整为 `[~]`，并未标记完成；P0-04 剩余门禁和全
 
 ### 验收边界
 
-本节只证明当前工作区的后端、前端回归和生产构建状态；不证明第一台 SMTP、验证码、密码重置、第二台 SSL 推送回滚或公网 HTTPS/SNI 已完成。
\ No newline at end of file
+本节只证明当前工作区的后端、前端回归和生产构建状态；不证明第一台 SMTP、验证码、密码重置、第二台 SSL 推送回滚或公网 HTTPS/SNI 已完成。
+## 2026年10月5日 第一台入口诊断补充
+
+### 本轮实测
+
+- [✓] 通过 Cloudflare 和 Google 公共 DoH 查询，确认 `odacm.cn` 公网 A 记录为 `8.137.23.95`。
+- [✓] 第一台 `8.137.23.95:80` 可达，返回 `nginx/1.30.5` 和 `301`，将 `/readyz` 重定向到 HTTPS。
+- [!] 第一台 `8.137.23.95:443` 的严格 TLS 握手失败，尚未取得证书或 HTTP 响应。
+- [!] 对 443 端口发送普通 HTTP 请求返回 `Server: Beaver`、`403 Forbidden`，说明前置网关/TLS 路由仍未形成可验收的 `odacm.cn` HTTPS 入口。
+- [!] SSH 主机指纹匹配且 22 端口可达；服务器当前仅继续提供密码认证，公钥认证被拒绝，未重复猜测或记录密码。
+
+### 任务状态
+
+- [✓] 公网 DNS 指向第一台已复核。
+- [~] 第一台 HTTPS/SNI 前置路由和受控 SSH 登录仍待修复或提供有效授权。
+- [ ] 第一台 SMTP 真实通知、验证码、受保护重置、新密码登录和旧会话失效闭环。
+- [ ] 第二台正式 SSL 推送、Nginx reload、失败回滚和幂等验证。
+- [!] Linux 总体生产上线验收继续未通过。
+
+本节不记录密码、授权码、Cookie、令牌或私钥；不使用不安全 TLS 绕过方式，Windows 环境不在本轮范围。
\ No newline at end of file
diff --git a/doc/Scert整改合并优化清单.md b/doc/Scert整改合并优化清单.md
index ca91a20..8dcb694 100644
--- a/doc/Scert整改合并优化清单.md
+++ b/doc/Scert整改合并优化清单.md
@@ -3688,4 +3688,23 @@ Smail 已从历史 502 状态恢复，系统通知授权页面可用；当前唯
 
 ### 验收边界
 
-本节只证明当前工作区的后端、前端回归和生产构建状态；不证明第一台 SMTP、验证码、密码重置、第二台 SSL 推送回滚或公网 HTTPS/SNI 已完成。
\ No newline at end of file
+本节只证明当前工作区的后端、前端回归和生产构建状态；不证明第一台 SMTP、验证码、密码重置、第二台 SSL 推送回滚或公网 HTTPS/SNI 已完成。
+## 2026年10月5日 第一台入口诊断补充
+
+### 本轮实测
+
+- [✓] 通过 Cloudflare 和 Google 公共 DoH 查询，确认 `odacm.cn` 公网 A 记录为 `8.137.23.95`。
+- [✓] 第一台 `8.137.23.95:80` 可达，返回 `nginx/1.30.5` 和 `301`，将 `/readyz` 重定向到 HTTPS。
+- [!] 第一台 `8.137.23.95:443` 的严格 TLS 握手失败，尚未取得证书或 HTTP 响应。
+- [!] 对 443 端口发送普通 HTTP 请求返回 `Server: Beaver`、`403 Forbidden`，说明前置网关/TLS 路由仍未形成可验收的 `odacm.cn` HTTPS 入口。
+- [!] SSH 主机指纹匹配且 22 端口可达；服务器当前仅继续提供密码认证，公钥认证被拒绝，未重复猜测或记录密码。
+
+### 任务状态
+
+- [✓] 公网 DNS 指向第一台已复核。
+- [~] 第一台 HTTPS/SNI 前置路由和受控 SSH 登录仍待修复或提供有效授权。
+- [ ] 第一台 SMTP 真实通知、验证码、受保护重置、新密码登录和旧会话失效闭环。
+- [ ] 第二台正式 SSL 推送、Nginx reload、失败回滚和幂等验证。
+- [!] Linux 总体生产上线验收继续未通过。
+
+本节不记录密码、授权码、Cookie、令牌或私钥；不使用不安全 TLS 绕过方式，Windows 环境不在本轮范围。
\ No newline at end of file