加固双机公网入口并更新验收进度

撤销第一台公网管理端口放行，补充第二台高风险端口拒绝规则，记录双机 Nginx 入口和外部复核证据。

doc/Scert整改任务执行清单.md

@@ -1,5 +1,16 @@
 # Scert 整改任务执行清单
 
+## 2026年10月1日公网入口安全加固复核
+
+本次只记录非敏感安全证据，不记录服务器口令、RAM 密钥、数据库密码、令牌或其他认证信息。用户要求不得出现绕过 Nginx 的高风险直连入口，本轮已对双机完成现场加固：
+
+- [✓] 第一台服务器撤销公网 `8443`、`9998`、`9999` 防火墙放行；Scert 仍只监听 `127.0.0.1:8443`，Nginx 继续承接 `80/443`。
+- [✓] 第二台服务器针对宽范围防火墙规则，在最前面增加 `8443`、`9998`、`9999` 的拒绝规则；未删除其他业务服务，不影响 Nginx 反代链路。
+- [✓] 双机 `3306`、`33060` 仍仅回环监听；两台 Nginx 配置测试均通过，核心服务未因加固重启或异常。
+- [✓] 外部 HTTPS 复核：第一台管理域名返回 200，第二台管理入口按当前认证策略返回 401；两台服务器的 `8443`、`9998`、`9999` 直连请求均无法建立 HTTPS 会话。
+- [✓] 本轮未创建辅助验收脚本、未清理或改写历史恢复证据、未修改数据库内容；邮件协议端口按 Smail 系统账户职责保留，不作为 Scert 管理入口。
+- [~] 该安全入口子项完成，不能扩大为 P0-10、三数据库 Web 流程或总体生产验收通过；其余任务按下方看板继续推进。
+
 ## 2026年10月1日加速执行任务列表
 
 本节为当前执行看板，任务状态按 `[ ]` 未开始、`[~]` 进行中、`[x]` 已完成等待复审、`[✓]` 复审通过、`[!]` 暂缓或阻塞标记。任务清单不记录任何认证信息，Windows 环境按要求排除。

doc/Scert整改合并优化清单.md

@@ -1,5 +1,16 @@
 # Scert 整改、合并与优化清单
 
+## 2026年10月1日公网入口安全加固复核
+
+本次仅记录非敏感现场证据，不记录服务器口令、RAM 密钥、数据库密码、令牌或其他认证信息。为落实“只通过 Nginx 80/443，不允许高风险直连管理端口”，双机已完成防火墙与入口复核：
+
+- [✓] 第一台移除公网 `8443`、`9998`、`9999` 放行规则；Scert 管理服务保持 `127.0.0.1:8443` 回环监听，外部只能经 Nginx `80/443` 访问。
+- [✓] 第二台在现有宽范围放行规则之前增加 `8443`、`9998`、`9999` 拒绝规则，防止范围规则重新暴露 Scert 直连入口；没有删除其他服务或其数据。
+- [✓] 双机 `3306`、`33060` 仍为回环监听；双机 `nginx -t` 通过，Scert、存储通道、MySQL 和 Nginx 健康状态未因规则加固异常。
+- [✓] 外部复核确认管理 HTTPS 正常，Scert 直连端口 `8443`、`9998`、`9999` 无法建立 HTTPS 会话；`odacm.cn` 当前 HTTPS 返回 200。
+- [✓] 未关闭 TLS 校验、未创建辅助验收脚本、未清理历史事务或数据库；邮件服务端口按系统账户发信职责保留，和 Scert 管理入口分离。
+- [~] 公网入口风险子项已完成待复审；总体仍保持 **P0-03：完成，等待复审**，不得据此宣布生产验收通过。
+
 ## 2026年10月1日加速任务清单（Linux上线前门禁）
 
 本节是当前执行入口，按“先整改、再构建、后清库验收”的顺序推进。任务记录不包含服务器口令、RAM 密钥、数据库密码、令牌或其他认证信息；Windows 环境明确不在本轮范围。