Skip to content

Standard Reader

Tag

Selfhosted

Articles and publications tagged Selfhosted across the Atmosphere.

35articles3publications

Articles

Publications

-=Kernel-Error=-Sep 25, 2026

RFC 9989 löst RFC 7489 ab: was sich für DMARC wirklich ändert

RFC 7489 ist seit Mai 2026 durch RFC 9989 abgelöst, DMARC wandert dabei von einem auf drei RFCs und von Informational auf Standards Track. Was sich an den Tags ändert, was bestehende Records weiterhin gültig macht, und ein Praxis-Check an sechs eigenen Domains inklusive einer Lücke im eigenen rspamd.

-=Kernel-Error=-Sep 23, 2026

Keyoxide: der fünfte Claim scheiterte an der Position im Profil, nicht am Beweis

Der fünfte Keyoxide-Claim, der Beweis für den Fediverse-Actor dieses Blogs, scheiterte im August trotz korrektem Beweis. Die Ursache lag in einer Reihenfolge-Abhängigkeit zwischen zwei fremden Projekten, gefunden im Quellcode von doipjs und dem ActivityPub-Plugin, jetzt behoben.

@kernel-error.de@www.kernel-error.deDNSSEC

-=Kernel-Error=-Sep 12, 2026

Keyoxide: die Linux-App ist im Flathub, dazu ein Android-Update

Der Keyoxide-Beitrag von August bekommt einen kurzen Nachtrag: die Linux-App liegt jetzt im Flathub, die Android-App wurde aktualisiert, und für Fragen gibt es einen eigenen Matrix-Kanal. Dazu der Faktencheck, ob der QR-Code in der App wirklich auf die richtige Datei zeigt.

DNSSECEncryption

-=Kernel-Error=-Aug 17, 2026

ECH aktivieren: Encrypted Client Hello in nginx mit OpenSSL 4.0, sechs Domains und ein gemeinsamer Deckname

Der Servername im TLS-Handshake bleibt für jeden Netzwerkbeobachter sichtbar, selbst wenn DNS-Anfragen längst verschlüsselt laufen. Mit OpenSSL 4.0 und einem gemeinsamen Deckname über mehrere unabhängige Domains hinweg lässt sich das schließen, wenn eine Entscheidung nicht falsch getroffen wird: der öffentliche Name.

-=Kernel-Error=-Aug 16, 2026

sipgate unter Linux: ein Softphone, das Kontakte und Kalender aus der eigenen Nextcloud kennt

Ein Softphone unter Linux, das an meinem sipgate-Konto hängt und beim Klingeln den Namen aus meiner eigenen Nextcloud anzeigt statt einer nackten Rufnummer. Der Weg dahin führt nicht über CardDAV im Telefon, sondern über den evolution-data-server, und das Softphone merkt davon nichts. Dazu die Frage, was bei so einem Anruf eigentlich verschlüsselt ist, einmal nachgemessen statt geglaubt.

EncryptionFlatpak

-=Kernel-Error=-Aug 2, 2026

Keyoxide: den OpenPGP-Schlüssel an Online-Identitäten binden, vier grüne Haken und ein rotes Kreuz

Ein neuer GPG-Schlüssel wirft die Frage auf, woher irgendwer wissen soll, dass er mir gehört. Das Web of Trust ist tot, Identity Claims füllen die Lücke: Claims in der Selbstsignatur, Proofs an DNS, GitHub und Matrix. Mit vier grünen Haken, einem roten Kreuz und einem CORS-Bug.

DNSSECEncryption

-=Kernel-Error=-Jul 5, 2026

Wenn PHP beim Aufräumen stirbt: ein FreeBSD-rtld-Bug hinter posix_spawn

PHP 8.4 auf FreeBSD 15 segfaultet zuverlässig beim Shutdown nach jedem Nextcloud-occ-Lauf, funktional harmlos, aber mit 2,2-GB-Cores und hängenden Jobs. Eine mehrwöchige Jagd über JIT, Versionen und einen wandernden Heap-Crash bis hinunter zu libc und dem Runtime-Linker, mit Upstream-Report und Fix.

DebuggingFreeBSD

-=Kernel-Error=-Jun 24, 2026

Tiered Storage live: Wie ein ZFS special vdev den HDD-Flaschenhals an der Wurzel packt

Ein ZFS-Pool aus zwei 7200-rpm-Platten war durch Metadaten-Random-I/O ausgebremst. Mit zwei zpool-add-Befehlen im laufenden Betrieb wurde daraus ein hybrider Pool: heiße Metadaten auf gespiegelter SSD, kalte Massendaten auf HDD. Mit Baseline-Messung, Encryption-Stolperstein und ehrlicher Wirkungsanalyse.

EncryptionFreeBSD

-=Kernel-Error=-May 25, 2026

bhyve und vm-bhyve: Windows-VM auf FreeBSD einrichten

FreeBSD bringt seit 10.0 einen eigenen Typ-2-Hypervisor mit, bhyve. Mit vm-bhyve laeuft eine Windows-VM in wenigen Minuten: UEFI-Boot, virtio-net, VNC. Plus Hinweise zu virtio-Treibern, die in der VM aktiv sein wollen, und ZFS-Snapshots vor der Erstinstallation.

FreeBSDNetworking

-=Kernel-Error=-May 25, 2026

FreeBSD: Verschlüsseltes ZFS-Backup auf USB-Platte mit geli

ZFS-Snapshots des Notebook-Pools auf eine USB-Platte schieben, die komplett mit geli verschluesselt ist. geli-Init mit AES-XTS-256, ZFS-Pool auf dem entschluesselten Geraet, ein knapper Backup-Workflow per zfs send und der Schluessel-Aufbewahrungs-Hinweis am Schluss.

EncryptionFreeBSD

-=Kernel-Error=-May 25, 2026

SSH Host Keys per SSHFP im DNS veröffentlichen

SSH-Host-Keys nicht mehr per Trust-on-First-Use pruefen, sondern aus dem DNS lesen: SSHFP-Records nach RFC 4255 erzeugen, in die Zone eintragen, VerifyHostKeyDNS aktivieren. Plus die DNSSEC-Pflichtkomponente und was zu beachten ist bei alten OpenSSH-Versionen.

-=Kernel-Error=-May 25, 2026

OPENPGPKEY: GPG-Schlüssel direkt im DNS veröffentlichen

GPG-Schluessel direkt als OPENPGPKEY-Record im DNS hinterlegen, ohne Keyserver-Abhaengigkeit oder Web-of-Trust. RFC 7929 erklaert, die SHA-256-Hash-Variante des Local-Part, ein Generator fuer den Record und warum DNSSEC die Voraussetzung ist. Plus Hinweis zur Recordgroesse.

-=Kernel-Error=-May 25, 2026

IP Reverse Map Delegation: Einrichtung und Fehlerbehebung

Wer eine kleinere IP-Range als /24 hat (typisch beim Reseller mit /28 oder /29), kann keine eigene PTR-Zone betreiben. RFC 2317 loest das per CNAME-Delegation im /24 des Providers. Praxis-Walkthrough mit BIND-Zonenfiles auf beiden Seiten und der Standard-Stolperstein bei der Sub-Range-Notation.

-=Kernel-Error=-May 25, 2026

Postfix mit DANE und DNSSEC absichern

Postfix-MTA mit DANE absichern: TLSA-Records nach RFC 7672, smtp_tls_security_level=dane, die "3 1 1"-Selector-Variante als langlebige Wahl, der DNSSEC-Stack als Grundvoraussetzung und Tools fuer die Pruefung. Plus eine Kurz-Erklaerung zu Untrusted vs Verified im Postfix-Log.

-=Kernel-Error=-May 25, 2026

SPF-Record einrichten: Wie du festlegst, wer für deine Domain Mails versenden darf

Ein SPF-Record legt im DNS fest, welche Server fuer eine Domain Mail verschicken duerfen. Die Mechanismen include/a/mx/ip4/ip6/all, die Qualifier +-~? und der 10-Lookup-Limit-Stolperstein in einem Praxis-Aufschrieb. Warum Hardfail (-all) meist die richtige Wahl ist.

-=Kernel-Error=-May 25, 2026

DMARC einrichten: Policy, Alignment und Reporting für deine Domain

DMARC baut auf SPF und DKIM auf und schliesst die zwei Luecken die beide einzeln offen lassen: Der Absender bestimmt was mit unzustellbaren Mails passieren soll, Reports landen taeglich im Postfach. Policy-Stufen none/quarantine/reject erklaert, plus typischer rua-Reporting-Setup.

-=Kernel-Error=-May 25, 2026

Kodi auf dem Raspberry Pi 4: Ruckelfreie Wiedergabe einrichten

Kodi auf dem Raspberry Pi 4: Cache-Tuning fuer ruckelfreie Wiedergabe von NFS-Streams. Update fuer Kodi 21 (Omega) und LibreELEC 12: advancedsettings.xml wird ignoriert, Cache-Werte muessen jetzt in guisettings.xml gesetzt werden.

-=Kernel-Error=-May 25, 2026

Fundstücke aus dem Netz: Angie, llmfit, idiocracy.wtf und KI-Alert-Analyse

Eine kleine Linksammlung: der Nginx-Fork Angie, das Modell-Hardware-Matching-Tool llmfit, die minimalistische Satire-Seite idiocracy.wtf und ein lesenswerter Beitrag zu KI-gestützter Alert-Analyse in Kubernetes und CheckMK.

-=Kernel-Error=-May 25, 2026

grav-plugin-fediverse-publisher: ActivityPub für Grav-Blogs, neun Iterationen bis v0.1.0

Für Grav gab es bisher kein natives ActivityPub-Plugin. Sechs Jahre lang im Forum nachgefragt, niemand hat es gebaut. Jetzt schon: grav-plugin-fediverse-publisher v0.1.0, MIT, produktiv auf einem Live-Blog, neun Iterationen Patch-Geschichte inklusive.

@nicole@www.beratung-rheinbach.deActivityPub

-=Kernel-Error=-May 25, 2026

WordPress wp-cron.php: Ist die angebliche Sicherheitslücke real?

"Vulnerability Reports" zur wp-cron.php sind ein Klassiker unter den Scam-Mails. Kurze Einordnung: ist das ein P1-Bug? Nein. Was wirklich hilft, sind Rate Limiting in nginx oder die lokale Ausfuehrung per Cronjob.

HardeningInfoSec

-=Kernel-Error=-May 25, 2026

Rspamd: Automatisches Spam/Ham-Lernen mit Dovecot und IMAPSieve

Rspamds Webinterface ist praktisch zum Testen, aber fuer produktives Spam/Ham-Lernen unbrauchbar. Automatisierung mit Dovecot, IMAPSieve und einem Learn-Ordner pro Nutzer. Falsch klassifizierte Mails einfach in den Ordner schieben, Rspamd lernt mit.

-=Kernel-Error=-May 24, 2026

HTTPS RR und SVCB: Moderne DNS-Records für schnellere und sicherere Verbindungen

Wenn ein Browser eine HTTPS-Verbindung aufbaut, braucht er normalerweise mehrere DNS-Lookups und Round-Trips, bevor er überhaupt weiß, welche Protokolle der Server unterstützt. Erst A/AAAA-Record abfragen, dann TCP-Verbindung, dann TLS-Handshake, dann Alt-Svc-Header parsen für HTTP/3. Das ist ineffizient und seit November 2023 gibt es mit RFC 9460 eine saubere Lösung dafür: den HTTPS Resource Record. Die großen Browser Hersteller unterstützen das ebenfalls schon, eigentlich mehr aus […]

-=Kernel-Error=-May 23, 2026

GPT in Rspamd aktivieren: so nutze ich das LLM-Signal im Score

Seit einiger Zeit nutze ich das GPT-Modul von Rspamd, um bei der Spam-Erkennung ein zusätzliches Signal zu bekommen. Es ersetzt nichts — kein Bayes, kein DKIM, kein RBL — sondern ist ein weiterer Sensor im Gesamtbild. Wer sich fragt, wie das in der Praxis aussieht und worauf man achten muss: hier mein aktuelles Setup. Update 2026-02-13: Dieser Beitrag wurde komplett überarbeitet. Die ursprüngliche Version nutzte json=false, was zu Parse-Problemen führte. Außerdem fehlte ein Custom […]

-=Kernel-Error=-May 23, 2026

Mein Arbeitskollege Michael lässt eine AI meinen Blog roasten

Manchmal braucht es einen Arbeitskollegen, der eine AI auf den eigenen Blog hetzt, um zu merken, wie selbstreferentiell das Ganze geworden ist. Ich richte nichts richtig, ich stelle den Roast in voller Länge rein und lache mit.