CF/#1033 ✅ Track A komplett: bf-Tunnel pve-only + Ingress-Repoints + DNS-Cleanup

- A1: n8n Compose-Port .41.167→.20.167 (Daten/Encryption-Key erhalten), NAS-Leichen weg
- A2: Ingress v106 alle Origins .41.167→.20.167, hermes-geli neu, mcp-ms365 raus
- A3: hermes-geli-CNAME + 12 tote/Orphan-CNAMEs gelöscht
- Endzustand: Tunnel healthy/1 Connector, 23 Ingress↔23 CNAMEs, keine Waisen
- Zugang via scoped API-Token (mcp/cloudflare/.env), OAuth-MCP blieb read-only

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/cf-tunnel-mapping.md

@@ -97,10 +97,10 @@ Die .167-Dienste laufen real auf dem **macmini (ep20, VLAN20 10.40.20.167)** —
 
 ---
 
-## 7. CHANGE-SET — STATUS 2026-06-30
-> Zugang gelöst über **scoped API-Token** in `mcp/cloudflare/.env` (OAuth-MCB blieb read-only).
-> **A1 + A2 ✅ ANGEWENDET** (Ingress v106). **A3 (DNS) ⛔ blockiert:** Token hat kein DNS-Permission
-> (`dns_records` = 403) → Christoph muss **DNS:Edit** für emsenhuber.net zum Token hinzufügen.
+## 7. CHANGE-SET — ✅ KOMPLETT 2026-06-30
+> Zugang über **scoped API-Token** in `mcp/cloudflare/.env` (OAuth-MCP blieb read-only).
+> **A1 + A2 + A3 alle angewendet.** Endzustand: Tunnel healthy/1 Connector (pve), Ingress v106,
+> 23 Ingress-Hostnames ↔ 23 DNS-CNAMEs, keine Waisen, keine CNAMEs auf tote Tunnel.
 
 ### ✅ Erledigt
 - **A1:** n8n-Compose-Port `10.40.41.167→10.40.20.167` (Stack 174 redeploy, Volume/Encryption-Key erhalten,
@@ -110,10 +110,11 @@ Die .167-Dienste laufen real auf dem **macmini (ep20, VLAN20 10.40.20.167)** —
 - **App-Level-Notizen (kein 1033):** `gitea-mcp` 404 auf `/` (Sub-Pfad?), `hermes` 502 (Origin .20.167:8642
   erreicht, App liefert 502) — separat prüfen.
 
-### ⛔ Offen A3 (sobald Token DNS:Edit hat)
-- `hermes-geli` CNAME → `70d6a4cf….cfargotunnel.com` (proxied) anlegen (bis dahin 000).
-- Löschen: `oc`,`oc2`,`oc3`,`win11test`,`jc`,`charlie`,`coolify`,`dashboard`,`drawio`,`mcp-ms365`,
+### ✅ A3 (DNS) erledigt
+- `hermes-geli` CNAME → `70d6a4cf….cfargotunnel.com` (proxied) angelegt → jetzt erreichbar (302).
+- Gelöscht: `oc`,`oc2`,`oc3`,`win11test`,`jc`,`charlie`,`coolify`,`dashboard`,`drawio`,`mcp-ms365`,
   `mcp-qdrant`,`ssh-nasbfnew`.
+- Konsistenz verifiziert: 23↔23, keine Orphans, keine toten Tunnel-Verweise.
 
 ### Ursprünglicher Plan (Referenz)