Domain-Baukasten

Subdomain-Plan

Ein Vorschlag. Jede Zeile ist unten ein Rezept. öffentlich Login Cloudflare, kein Server

1 DNS: Records erklärt + Grundmuster

Ein DNS-Record ist ein Eintrag in der Zone deiner Domain: Name → Typ → Wert. Der Resolver fragt danach, um herauszufinden, wohin eine Anfrage geht.

Die Record-Typen

Die drei E-Mail-TXT-Records

• SPF (@, TXT): welche Server dürfen für die Domain senden. v=spf1 include:zoho.eu -all – -all hart (Rest ablehnen), ~all weich. Nur ein SPF-Record pro Domain.
• DKIM (<selector>._domainkey, TXT/CNAME): der öffentliche Schlüssel, mit dem Empfänger die Signatur deiner Mails prüfen. Den privaten Teil hält dein Mail-Anbieter.
• DMARC (_dmarc, TXT): was tun mit Mail, die SPF und DKIM nicht besteht – p=none (nur beobachten) → p=quarantine → p=reject. rua=mailto:… = wohin die Report-Mails.

TTL, Proxy, Propagation

• TTL (Time To Live) = wie lange ein Resolver den Wert zwischenspeichern darf. Vor einem Umzug niedrig setzen (60 s), sonst Auto (bei Cloudflare 300 s proxied). Änderungen sind erst überall da, wenn die alte TTL abgelaufen ist.
• Proxy bei Cloudflare: orange = HTTP(S)-Traffic läuft durch Cloudflare (CDN, WAF, verbirgt die Server-IP). Grau = Cloudflare löst nur den Namen auf. MX/TXT/SRV haben keinen Proxy. Mail-Namen (mail.) und Records für Zertifikats-Challenges nie proxen.
• Apex / @ = die Domain selbst (seb4u.com), alles andere ist eine Subdomain (blog., mail.…).

Resolve-DnsName blog.seb4u.com -Type A     -Server 1.1.1.1
Resolve-DnsName seb4u.com -Type MX          -Server 1.1.1.1
Resolve-DnsName _dmarc.seb4u.com -Type TXT  -Server 1.1.1.1
# -Server 1.1.1.1 fragt einen oeffentlichen Resolver, umgeht den lokalen Cache

Grundmuster: welcher Record wofür

Je nachdem, wohin ein neuer Name zeigen soll.

2 Öffentliche Website (@ / www)

Ohne Login, für alle. Drei Wege – vom simpelsten zum flexibelsten.

A – Cloudflare Pages kein Server, gratis

1. Frontend-/Static-Site-Repo bei GitHub (Angular-dist, Astro, Hugo, plain HTML).
2. Cloudflare-Dashboard → Workers & Pages › Create › Pages › Connect to Git → Repo, Build-Command (npm run build), Output-Ordner (dist).
3. Nach dem Build: Custom domains → seb4u.com und www hinzufügen. Cloudflare setzt die Records.
4. Jeder git push deployt neu. Preview-URLs pro Branch inklusive.

B – nginx-Container auf dem Server

Wenn du die Seite lieber per deploy.ps1 aus dem gleichen Workflow schiebst (siehe Projekt-Host, Schritt 4). Tunnel-Hostname @ / www → http://web-www:80. Wichtig: für diese Hostnamen keine Cloudflare-Access-App anlegen – sonst kommt ein Login davor.

C – WordPress

Dynamische Seite mit Redaktion: eigene Anleitung WordPress auf Hetzner.

3 Nextcloud – cloud.seb4u.com

Dateien, Kalender, Kontakte, Foto-Sync. Hat einen eigenen Login – Cloudflare Access davor ist optional (zweite Tür).

services:
  app:
    image: nextcloud:30-apache
    restart: unless-stopped
    environment:
      MYSQL_HOST: db
      MYSQL_DATABASE: nextcloud
      MYSQL_USER: nextcloud
      MYSQL_PASSWORD: ${DB_PW}
      REDIS_HOST: redis
      NEXTCLOUD_TRUSTED_DOMAINS: cloud.seb4u.com
      OVERWRITEPROTOCOL: https            # wichtig hinter dem Tunnel
      OVERWRITECLIURL: https://cloud.seb4u.com
    volumes: [ nc_data:/var/www/html ]
    networks: [ web, internal ]
  db:
    image: mariadb:11.4
    restart: unless-stopped
    command: [ --transaction-isolation=READ-COMMITTED, --innodb-buffer-pool-size=256M ]
    environment:
      MARIADB_DATABASE: nextcloud
      MARIADB_USER: nextcloud
      MARIADB_PASSWORD: ${DB_PW}
      MARIADB_RANDOM_ROOT_PASSWORD: "yes"
    volumes: [ nc_db:/var/lib/mysql ]
    networks: [ internal ]
  redis:
    image: redis:7-alpine
    restart: unless-stopped
    networks: [ internal ]
volumes: { nc_data: {}, nc_db: {} }
networks:
  web: { name: web, external: true }
  internal: {}

1. .env: DB_PW= (langes Zufallspasswort), chmod 600.
2. docker compose up -d. Tunnel → Public Hostname cloud → http://nextcloud-app-1:80 (docker compose ps zeigt den genauen Namen. Per container_name: festnageln ist sauberer).
3. https://cloud.seb4u.com → Admin-Konto anlegen. Danach in Nextcloud die App Calendar, Contacts, Memories aktivieren.

4 Gitea – git.seb4u.com

Eigene Repos, Issues, Actions-CI. ~200 MB (Megabyte) RAM. Eigener Login.

services:
  gitea:
    image: gitea/gitea:1.22
    restart: unless-stopped
    environment:
      GITEA__server__ROOT_URL: https://git.seb4u.com/
      GITEA__server__SSH_DOMAIN: git.seb4u.com
      GITEA__server__SSH_PORT: "2222"
      GITEA__service__DISABLE_REGISTRATION: "true"
    volumes:
      - gitea:/data
    ports:
      - "2222:22"          # nur fuer 'git clone ssh://' - eigene Firewall-Regel noetig
    networks: [ web ]
volumes: { gitea: {} }
networks:
  web: { name: web, external: true }

1. Cloud-Firewall: Regel für TCP (Transmission Control Protocol) 2222 hinzufügen (Git-SSH geht nicht durch den HTTP-Tunnel). Alternativ Gitea nur über HTTPS (Hypertext Transfer Protocol Secure) nutzen und Git per Token/HTTPS klonen – dann ports: weglassen.
2. Tunnel → Public Hostname git → http://gitea:3000.
3. Erstaufruf legt den Admin an. Danach Registrierung aus (schon per Env gesetzt).

5 Status-Seite – status.seb4u.com

Uptime Kuma prüft deine Dienste und zeigt eine öffentliche Status-Seite. Am besten auf einem anderen Host – sonst meldet es sich nicht, wenn der Server weg ist.

services:
  kuma:
    image: louislam/uptime-kuma:1
    restart: unless-stopped
    volumes: [ kuma:/app/data ]
    networks: [ web ]
volumes: { kuma: {} }
networks:
  web: { name: web, external: true }

1. Tunnel → status → http://kuma:3001. Erstaufruf = Admin anlegen.
2. Monitore hinzufügen: HTTP(s) auf https://cloud.…, https://git.… usw. – von außen, damit auch Tunnel-Ausfälle auffallen.
3. Benachrichtigung: Telegram / E-Mail / ntfy. Status Page anlegen, die darfst du öffentlich lassen (keine Access-App für status).

6 Weitere Dienste Kurzrezepte

Alle nach demselben Muster: Stack unter /opt/stacks/<name>, ans web-Netz, Tunnel-Hostname, Access je nach Bedarf.

7 Weiterleitungen / Kurzlinks

Kein Server. go.seb4u.com/xyz → irgendeine lange URL (Uniform Resource Locator).

1. DNS: AAAA go → 100::, proxied (ein Discard-Ziel, das nie antwortet – die Regel übernimmt).
2. Rules › Redirect Rules › Create rule
3. Einzelziel: When Hostname equals go.seb4u.com → Then Static redirect → deine Ziel-URL, Status 301.
4. Mehrere Kürzel: Bulk Redirects – eine Liste go.…/gh → https://github.com/… als CSV (Comma-Separated Values) hochladen.

Klassiker: www → @ (oder umgekehrt), alte Pfade auf neue, eine cv.seb4u.com auf ein PDF (Portable Document Format) in R2/Pages.

8 Cloudflare Pages

Statische Sites und SPAs direkt aus einem Git-Repo – gratis gehostet, global, mit CI (Continuous Integration).

• Gut für: Doku (docs), Portfolio, Landingpages, Angular-/React-Builds, Astro/Hugo/Next (static export).
• Build läuft bei Cloudflare. Du pushst nur ins Repo. Pro Pull-Request eine Preview-URL.
• Functions: kleine serverseitige Endpunkte im selben Projekt (/functions/api/….ts) – für Formulare, Auth-Callbacks.
• Custom domain im Projekt hinzufügen → docs.seb4u.com.

9 Cloudflare Workers

Kleine Funktionen am Rand – kein Server, 100 000 Requests/Tag gratis.

npm create cloudflare@latest hook -- --type=hello-world
cd hook
# src/index.ts anpassen - z.B. Webhook annehmen, in eine Queue / KV / Discord schreiben
npx wrangler deploy
# dann: Dashboard -> Worker -> Settings -> Triggers -> Custom Domain: hook.seb4u.com

• Typische Rollen: Webhook-Empfänger (GitHub/Stripe/…), kleine JSON-API, Redirect-Logik, Bot für Telegram/Discord, Bild-Resize, Auth-Gateway vor einer Origin.
• Zustand: KV (einfache Key-Values), D1 (SQLite), R2 (Objektspeicher, S3-kompatibel), Queues.
• Cron: wrangler.toml → [triggers] crons = ["0 * * * *"] für periodische Jobs ohne Server.

10 E-Mail / Kalender / Dateien: gehostete Anbieter an die Domain binden

Kein Server. Ein paar DNS-Einträge, dann laufen deine @seb4u.com-Adressen bei einem großen Anbieter – in dessen App.

E-Mail

iCloud+ Custom Email Domain – Schritt für Schritt

Voraussetzung: ein bezahlter iCloud+-Plan (50 GB / 200 GB / 2 TB – Family Sharing zählt). Bis zu 5 Domains, je 3 Adressen pro Person. Kein Catch-all.

1. Zoho vorher sichern. Custom Email Domain übernimmt die MX – sobald du umstellst, empfängt Zoho nichts mehr. Gebrauchte Mails vorher aus dem Zoho-Webmail exportieren (oder per imapsync nach dem Umzug in iCloud ziehen).
2. Einstieg: iPhone/iPad Einstellungen → [dein Name] → iCloud → iCloud Mail → Eigene E-Mail-Domain, Mac Systemeinstellungen → Apple-Account → iCloud → iCloud Mail → Eigene E-Mail-Domain, oder Web: icloud.com/icloudplus/customdomain.
3. Domain hinzufügen → Nur du (oder Du und weitere Personen) → seb4u.com eingeben.
4. Mindestens eine Adresse anlegen, z. B. du@seb4u.com.
5. Apple zeigt jetzt die DNS-Einträge. In Cloudflare eintragen (alle DNS only / grau), die alten Zoho-Records vorher löschen (MX, SPF-include:zoho, DKIM-CNAME, autoconfig/autodiscover):

6. Zurück bei Apple auf Setup abschließen – die Records werden geprüft (kann ein paar Minuten dauern).
7. In Mail (Apple) die neue Adresse als Standard-Absender setzen. Webmail: icloud.com/mail.
8. Nicht-Apple-Zugriff (Thunderbird/Outlook/Android): ein app-spezifisches Passwort auf appleid.apple.com → Anmeldung & Sicherheit → App-spezifische Passwörter erzeugen. Server: imap.mail.me.com:993 (SSL), smtp.mail.me.com:587 (STARTTLS), Benutzername = deine Haupt-iCloud-Adresse (nicht die Custom-Adresse), Passwort = das app-spezifische. „Von“ dann auf du@seb4u.com stellen.

Kalender & Kontakte

• Google Workspace / iCloud: Kalender läuft über das Konto, nicht über die Domain – iCloud+ bindet nur die E-Mail an seb4u.com, der Kalender bleibt an der Apple-ID.
• Domain-gebunden geht das nur selbst gehostet: Nextcloud (Abschnitt 3) mit CalDAV (Calendaring Extensions to WebDAV)/CardDAV (vCard Extensions to WebDAV) unter cloud.seb4u.com.

Dateien (Drive-artig)

• Persönliches Google Drive lässt sich nicht auf drive.seb4u.com legen. Workspace gibt dir Drive/Docs unter @seb4u.com-Konten.
• Ohne Workspace: Nextcloud (eigener Server), Cloudflare R2 + ein Worker als S3-artiger Speicher, oder ein statischer Datei-Host.
• Vanity: drive.seb4u.com als Weiterleitung auf deinen Drive-Ordner-Link – nur ein Shortcut.

11 Login: was schützen, was offen

+ Neuen Dienst hinzufügen

1. /opt/stacks/<name>/compose.yaml anlegen, Service ins web-Netz, kein ports: (außer Sonderfall wie Gitea-SSH).
2. docker compose up -d (oder deploy.ps1 <name> -Stack).
3. Tunnel-Dashboard → Public Hostname <name> . seb4u.com → http://<container>:<port>.
4. Braucht Login und hat keinen eigenen? → Access-App für den Hostnamen + Policy.
5. Ins Monitoring (Uptime Kuma) aufnehmen und ins Backup-Skript.

+ Kosten