diff --git a/docs/cf-tunnel-mapping.md b/docs/cf-tunnel-mapping.md
index 3d2cd04..6b0ed37 100644
--- a/docs/cf-tunnel-mapping.md
+++ b/docs/cf-tunnel-mapping.md
@@ -97,10 +97,10 @@ Die .167-Dienste laufen real auf dem **macmini (ep20, VLAN20 10.40.20.167)** —
 
 ---
 
-## 7. CHANGE-SET — STATUS 2026-06-30
-> Zugang gelöst über **scoped API-Token** in `mcp/cloudflare/.env` (OAuth-MCB blieb read-only).
-> **A1 + A2 ✅ ANGEWENDET** (Ingress v106). **A3 (DNS) ⛔ blockiert:** Token hat kein DNS-Permission
-> (`dns_records` = 403) → Christoph muss **DNS:Edit** für emsenhuber.net zum Token hinzufügen.
+## 7. CHANGE-SET — ✅ KOMPLETT 2026-06-30
+> Zugang über **scoped API-Token** in `mcp/cloudflare/.env` (OAuth-MCP blieb read-only).
+> **A1 + A2 + A3 alle angewendet.** Endzustand: Tunnel healthy/1 Connector (pve), Ingress v106,
+> 23 Ingress-Hostnames ↔ 23 DNS-CNAMEs, keine Waisen, keine CNAMEs auf tote Tunnel.
 
 ### ✅ Erledigt
 - **A1:** n8n-Compose-Port `10.40.41.167→10.40.20.167` (Stack 174 redeploy, Volume/Encryption-Key erhalten,
@@ -110,10 +110,11 @@ Die .167-Dienste laufen real auf dem **macmini (ep20, VLAN20 10.40.20.167)** —
 - **App-Level-Notizen (kein 1033):** `gitea-mcp` 404 auf `/` (Sub-Pfad?), `hermes` 502 (Origin .20.167:8642
   erreicht, App liefert 502) — separat prüfen.
 
-### ⛔ Offen A3 (sobald Token DNS:Edit hat)
-- `hermes-geli` CNAME → `70d6a4cf….cfargotunnel.com` (proxied) anlegen (bis dahin 000).
-- Löschen: `oc`,`oc2`,`oc3`,`win11test`,`jc`,`charlie`,`coolify`,`dashboard`,`drawio`,`mcp-ms365`,
+### ✅ A3 (DNS) erledigt
+- `hermes-geli` CNAME → `70d6a4cf….cfargotunnel.com` (proxied) angelegt → jetzt erreichbar (302).
+- Gelöscht: `oc`,`oc2`,`oc3`,`win11test`,`jc`,`charlie`,`coolify`,`dashboard`,`drawio`,`mcp-ms365`,
   `mcp-qdrant`,`ssh-nasbfnew`.
+- Konsistenz verifiziert: 23↔23, keine Orphans, keine toten Tunnel-Verweise.
 
 ### Ursprünglicher Plan (Referenz)