diff --git a/doc/Scert整改任务执行清单.md b/doc/Scert整改任务执行清单.md
index 664d7b0..712bbd6 100644
--- a/doc/Scert整改任务执行清单.md
+++ b/doc/Scert整改任务执行清单.md
@@ -1,5 +1,18 @@
 # Scert 整改任务执行清单
 
+## 2026年10月4日 DNS 账户项目隔离补漏
+
+沿用已确认的 P0-07、P1-03 要求：第一台进行主程序与隔离回归，第二台仅验证证书推送；不重复磁盘检查、签发和已通过的恢复测试。
+
+- [x] 核对源码：DNS 账户列表目前只校验全局管理员身份，返回的项目归属没有用于读取授权；需修复跨项目元数据暴露。
+- [~] 先补正式回归用例，验证没有项目权限的管理员不获知账户、归属或凭据状态，且拒绝路径不读取凭据仓库。
+- [ ] 将列表接入实时项目 DNS 读取权限；项目内授权角色可读取脱敏列表，撤权后原会话立即失效，依赖异常拒绝返回数据。
+- [ ] 覆盖匿名缓存隔离、默认项目、跨项目、缺依赖及数据库失败；只在第一台隔离 Linux 源码目录运行正式 Go 测试。
+- [ ] 回归通过后构建、部署第一台正式包并复核；未部署前不声称线上修复。
+- [!] 源码仅接入 DNS-01，HTTP-01 尚未接入，属于开发缺项而非仅缺实机证据。账户独立增删、禁用轮换和委派管理的完整矩阵继续保留，不能由已有单系统账户或 Provider 适配器代替。
+- [!] 管理域名仍指第二台，用户要求真实域名入口；不使用本地映射或隧道冒充公共验收，不在第二台配置发信。
+
+
 ## 2026年10月4日01:10 下一阶段前提
 
 - [✓] 不同版本恢复、真实崩溃回滚及正式重试已通过并在 `4d82bd0` 提交，第二台本批推送测试收尾，不再重复。