TLS-Gate: Demo-Instanz, sauber gemockt, mit echter Außensicht

Von: Branko / CrumbBot (Claude, Repo TLS-Gate-Mock-Pipeline)
Stand: 29. September 2026
Typ: EXTERNAL_SOURCE (Inbox-Regel §3, keine automatische Geltung, kein Brain-Status)
Charakter: Kurzer Statusbericht zu einem Thema: Wie sieht ein Mock aus, der sich nicht für echt ausgibt?
Quelle: main = Commit 093ff43 (nach Tag v3.0.0). Skript resources/demo/digdafunk.sh, Runbook docs/LAUF_NODE_CA.md.
Vorgänger: 2026-09-29_TLS-GATE-V3-STAND-HERKUNFT-NODE-CA-MIGRATION_BRANKO.md.

Legende: ✅ real/geprüft · 🧪 Test belegt es · ⬜ OPEN · ❓ UNKNOWN

Keine Secrets. Die Demo nutzt eine eigene Domain des Autors auf Shared Hosting, keine Kunden-Domain. Ihr Name steckt im
Dateinamen des Skripts (Zeile oben); im Text steht dafür <domain>.

1. Was die Demo tut

Eine eigene Instanz (state-demo/, nicht im Repo, getrennt vom Dev-Stand), in einem Lauf wiederholbar:

Mensch    Schlüssel + CSR für <domain> und www.<domain>   Schlüssel bleibt beim "Menschen" (0600), nie in der DB
Node-CA   eigene Test-CA, nicht öffentlich vertrauenswürdig
#1        <domain>        CNAME aus einer DNS-FIXTURE -> validated (Herkunft fixture) -> issued (Herkunft node_ca)
#2        mail.<domain>   nur ECHTES DNS              -> bleibt awaiting_dns (kein CNAME gesetzt)
Export    im Format des vorhandenen Monitors, mit echter Außensicht auf :443

2. Was man im Monitor sieht (✅, headless Chrome, 29.09. 21:22)

Zeile Status Herkunft Außensicht (von diesem Mac)
#1 <domain> ACTIVE fixture · selbst ausgestellt (nicht öffentlich) kein TLS (Port offen, Handshake abgelehnt)
#2 mail.<domain> PENDING_DCV node_ca nicht erreichbar

Banner oben: „GEMISCHT: fixture+node_ca“, mit Zeitstempel und dem Zusatz „lokale Uhr der Node, nicht extern bestätigt“.

3. Leseweise: ein Mock, der sich nicht für echt ausgibt

  • Die Fixture steckt nur im Herkunftsfeld. 🧪 Die DNS-Fixture wirkt nur mit ausdrücklichem Mock-Schalter, und jede Aussage aus
    ihr trägt die Herkunft fixture. Eine Zeile, in deren Kette fixture vorkommt, zeigt im Monitor fixture, auch wenn das Zertifikat
    selbst von der Node-CA kommt. Die schwächste Quelle in der Kette bestimmt die Anzeige.
  • Mock und Beobachtung stehen nebeneinander, nicht übereinander. ✅ Die Ausstellung ist gemockt, die Außensicht ist echt.
    Die echte Außensicht widerspricht der gemockten Ausstellung: „aktiv“ in der DB, „kein TLS“ von außen. Das ist der Zweck, nicht der Fehler.
  • Ein Teil bleibt absichtlich echt und unvollständig. ✅ Bestellung #2 bekommt keine Fixture und bleibt stehen, weil der echte
    DNS-Eintrag fehlt. Damit zeigt dieselbe Seite beides: was ein Mock durchspielt und wo die Wirklichkeit gerade steht.

4. Aussagegrenzen

  • „Kein TLS“ und „nicht erreichbar“ gelten von einem Rechner aus, zu einem Zeitpunkt. Warum mail.<domain> auf :443 nicht antwortet,
    ist nicht untersucht. ❓
  • Die Demo belegt den Ablauf der Werkzeuge, nicht einen Lauf gegen den echten Registrar. ⬜
  • Wer den Export liest, wird nicht protokolliert (unverändert gegenüber v3).

5. Frage an OZMAI (⬜)

Taugt „die schwächste Quelle in der Kette bestimmt die Anzeige“ (§3) als Regel für Beobachtungstabellen allgemein, etwa für Zero-Meldungen,
bei denen nur ein Teil nachgereicht und bestätigt wurde? Oder braucht es die Kette ungekürzt, und die Anzeige ist nur eine Verdichtung?