记录正式密码恢复入口404证据与修正条件

docs/证书托管续期策略验收.md

@@ -40,6 +40,14 @@
 
 验收日志保存在备份目录的 `verification` 子目录。本次四个 `/var/tmp/smail-*` 上传及测试目录已清理，临时测试单元已停止。浏览器已验证正式登录页；真实 CA 续期、登录后的证书设置操作和先前待验收的公网端口配置仍未完成，不计入本轮通过项。
 
+## 正式恢复入口未通过
+
+2026-09-18 15:31 浏览器点击登录页的“忘记密码？”后，`https://mail.solit.cn/public-password-recovery` 返回 404；服务器通过本机地址及正确域名验证同样返回 404，`https://mail.solit.cn/rest/` 也返回 404。直接访问内部 HTTPS 8002 端口时入口返回 302，跳转地址为 `https://mail.solit.cn:8002/rest/`。因此不能将隔离环境的恢复入口验收结果视为正式环境通过。
+
+正式配置代次为 2，HTTP 8001、HTTPS 8002、`tlsMode=direct`，缺少 `http.publicHttpsPort`。当前实现依据受控配置确定公网端口，缺省使用内部 HTTPS 端口，导致公网请求与恢复入口的域名端口校验不匹配。所需修改是通过正式配置流程设置 `http.publicHttpsPort=443`，保留内部监听端口和 `direct` 模式；当前 Nginx 使用 HTTPS 8002 上游，不应为解决此问题切换 TLS 模式。
+
+项目现有 `smail-config` 仅提供迁移，`smail-admin` 仅提供诊断及受保护重置，没有公网端口修改命令。本轮没有修改配置文件或重置管理员密码，需要有效的网页管理员会话继续。修改后须通过浏览器验证入口跳转到不含 8002 的 `/rest/`、恢复页面资源加载及返回登录链接；真实邮件与改密闭环仍需单独验收。
+
 ## 服务器清理后的边界
 
 2026-09-18 已停止并移除外部 `smail-certificate-renew` 服务与定时器、独立 Python 续期程序和 lego 工具。原数据与清理证据位于受保护目录 `/var/backups/smail-cleanup-20260918-bwQalZ`。这部分是此前清理结果，不代表本次真实 CA 续期验收。