补充云端泛解析与各服务统一证书实测证据

docs/云端全项目测试报告.md

@@ -11,6 +11,8 @@
 - [✓] 三类账号登录、TOTP 选择、提醒行为、邮件验证码跨场景消费、密码重置和客户端凭据撤销完成相应实机验证。
 - [✓] 项目部署包只包含三个程序与四个运行目录，没有加入 Python、部署或续期脚本。
 - [✓] 本轮临时 TOTP、外部邮箱绑定均已停用，账号密码保持用户指定值。
+- [✓] 实时 DNS 控制面、两个权威 DNS 和公共 DNS 均确认泛解析生效；邮件记录保留，DKIM 与运行密钥匹配。
+- [✓] Web 及已启用邮件 TLS、STARTTLS 入口返回同一张覆盖根域名的泛域名证书。
 - [!] 三个指定的 163 邮箱尚未完成真实收件和绑定验证。
 - [!] 当前客户端到公网邮件端口的连接路径未通过，不能声称外网邮件客户端收发通过。
 - [!] DNS 无人值守续期及 Nginx 换证同步未通过。
@@ -102,6 +104,33 @@
 
 Google 公共 DNS 已查到 DKIM；对 1.1.1.1 的 UDP 查询超时，未计为通过。本轮 ACME TXT 清理仅针对新建的两个记录 ID，核对剩余为零，既有记录保留。
 
+### 03:32—03:44 补充实测
+
+以下为接续时重新采集的实时证据，不依赖测试参数或历史快照判定通过。云端证据位于 `/var/tmp/smail-cloud-tests-20260920/`；本地副本位于忽略目录 `test-log/cloud-audit-20260920/`。
+
+| 核验项 | 结果 | 证据 |
+| --- | --- | --- |
+| DNS 控制面 | 阿里云当前返回 16 条记录，`* A 47.108.78.12` 已启用 | 本地 `test-log/cloud-dns-current-20260920.json` |
+| 权威及公共解析 | `dns13.hichina.com`、`dns14.hichina.com`、`8.8.8.8` 共 33 次查询均返回 NOERROR；随机一级子域名、Web 和邮件服务地址均指向服务器 | `live-dns-audit.json` |
+| 邮件记录保留 | MX、SPF、DKIM、DMARC 均可查到；与清理前快照相比，没有删除原有记录，只新增泛解析并更新 Smail 的 `default._domainkey` 公钥 | 同上及本地清理前快照 |
+| DKIM 密钥匹配 | 三个 DNS 查询源中的公钥均与 `/opt/smail/ssl/dkim/dkim.priv` 推导出的公钥一致；只比较公开材料，不输出私钥 | `live-dkim-match.json` |
+| 运行域名 | 邮件主域名为 `solit.cn`，后台为 `web.solit.cn`，公开 HTTPS 端口为 443；域名来自部署配置 | `live-domain-configuration.json` |
+| 统一证书 | 回环 443、8002、465、993、995，以及服务器经公网 IP 访问 443、465、993、995，全部通过系统信任链校验且指纹一致；443、8002 额外使用根域名 SNI 校验通过 | `live-certificate-unification.json` |
+| STARTTLS 证书 | 回环 SMTP 25/587、POP3 110 升级为 TLS 1.3，证书指纹与上述入口一致 | `live-starttls-certificates.json` |
+| 浏览器状态 | 实际 HTTPS 页面为安全上下文，`/api/ping` 两次返回 200，约 314 和 164 毫秒，超级管理员强制安全设置弹窗可见 | 本地 `live-browser-check.json` 保存最后一次结果 |
+
+统一证书 DER SHA-256：`f369937771b4b3bd4fc1ea624a8eed30e1451c8bcefdcd1c9c15043a33113018`。
+
+DKIM 公钥 DER SHA-256：`df9958f7e8c20c7d7f8735bb062f7bd7485bbee3bbd254930d7ae8d68ae6731c`。
+
+上述 TLS 连接共 14 次，其中服务器经公网 IP 访问内部 8002 的两次连接超时，不列为通过；回环 8002 校验通过，公开后台仍从 443 访问。本轮没有开放内部端口。IMAP 当前使用 993 隐式 TLS，源码和现行默认端口策略一致；143 未启用，连接被拒绝，没有将其计为 STARTTLS 通过。
+
+本机系统 DNS 此次将 Web 解析到 `198.18.1.254`，邮件地址仍解析到 `198.18.2.x`。本机 curl 和经本地 HTTP 代理的 Python TLS 连接仍在握手阶段失败；浏览器 HTTPS 正常。没有因此修改系统 DNS、代理或防火墙，也没有将服务器自身访问公网 IP 等同于外部客户端验收。
+
+另发现既有 `aliyun-cn-hangzhou._domainkey` 同名 TXT 有两条，其中一条公钥明显截断。该记录属于既有阿里云邮件链路，本轮未删除或修改；Smail 的 `default` 选择器公钥匹配已单独通过。保留 DNS 记录不代表既有阿里云邮件链路也已验收。
+
+### 仍未通过的项目
+
 项目托管启用内置续期检查，手动及代理托管不触发 ACME，策略测试已通过。但 DNS 挑战当前仍依赖人工 TXT，Nginx 配置也固定引用具体证书文件，没有自动同步换证引用和重载。**无人值守续期仍未完成**。服务器没有启用 Smail、Certbot 或 ACME 外部续期 timer，本轮没有新增外部部署或续期脚本。
 
 指定的三个 163 地址尚未完成真实收件及绑定验证，本轮没有向这些外部收件箱发送测试邮件。后续需由各邮箱持有人接收真实验证码，再通过正式绑定流程完成验证。
@@ -136,4 +165,6 @@ smail/
 
 最后一次部署前备份：`/var/backups/smail-full-test-20260920/pre-rebind/`，含三个旧程序及配置、数据、证书归档。测试日志和测试二进制保留在 `/var/tmp/smail-cloud-tests-20260920/`，不属于运行依赖；没有擅自删除这些验收证据。FDM、Scert、Nginx、MySQL 和 PostgreSQL 的其他业务未因最后一次 Smail 更新而停启。
 
+03:40 接续复核时，Smail 仍为 PID `712357`，自动重启次数为 0，Smail/Nginx 均 active；从最后一次启动至此的 warning 级 systemd 日志无记录。本机重置 socket 仍为 `0600 smail:smail`。接续只补充实测与文档，没有重新清库或变更运行程序。
+
 公网恢复入口已通过正式配置流程设置 `http.publicHttpsPort=443`；`/public-password-recovery` 跳转到 `https://web.solit.cn/rest/`，不再暴露内部 8002 端口，恢复页面返回 200。

docs/泛域名证书根域名覆盖.md

@@ -22,4 +22,8 @@ Web 地址允许使用主域名或一级子域名；多级子域名、其他主
 
 签发完成后仅删除本轮创建的两条 ACME TXT，其他 DNS 记录保留。当前客户端邮件端口网络路径仍未通过，不能将服务器侧验证等同于公网客户端收发验收。
 
+03:32—03:40 接续实测进一步确认：443、内置 HTTPS 8002、SMTP TLS 465、IMAP TLS 993、POP3 TLS 995，以及 SMTP 25/587 STARTTLS、POP3 110 STLS 均返回同一证书，DER SHA-256 为 `f369937771b4b3bd4fc1ea624a8eed30e1451c8bcefdcd1c9c15043a33113018`。根域名 SNI 也通过系统信任链校验。内部 8002 仅回环路径通过，服务器经公网 IP 访问该端口超时；143 当前未启用，未计为通过。
+
+阿里云控制面及两个权威 DNS、Google 公共 DNS 均确认 `*` 泛解析生效；MX、SPF、DKIM、DMARC 保留，Smail 的 DKIM 公钥与运行密钥匹配。原始证据见《云端全项目测试报告》的接续实测表。
+
 DNS 挑战仍需人工设置 TXT；Nginx 当前引用具体版本的证书文件，项目换证后也没有自动同步引用和重载。因此真实签发已通过，无人值守续期闭环尚未通过。详见《云端全项目测试报告》。