Mirror Komodo IP-allowlist labels and document de-publicization

Codex applied the ipallowlist middleware (Tailnet 100.64.0.0/10 + LAN 192.168.178.0/24) to the Komodo router live in the inline-managed self-stack; public now returns 403. Mirror the labels in ops/komodo/docker-compose.yml for parity (not auto-deployed), record the decision in docs/DECISIONS.md, and update docs/AUTH_MATRIX.md.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/AUTH_MATRIX.md

@@ -40,7 +40,7 @@ buendelt das an **einem** Ort und **verlinkt** auf die Quellen statt zu kopieren
 | `vault.kaleschke.info/admin` | **IP-Allowlist** (Tailnet `100.64.0.0/10` + LAN `192.168.178.0/24`), sonst 403 | Traefik `ipallowlist` (Label) | DECISIONS 2026-06-23 (Audit-P1) |
 | `files.kaleschke.info`, `scrutiny.kaleschke.info` | **two_factor** (explizit) | `authelia@file` | `configuration.yml`; scrutiny zusaetzlich privileged |
 | uebrige `*.kaleschke.info` mit Middleware (monitoring/grafana, glances, glance, speedtest, bentopdf, mail-archiver, paperless-gpt, hermes, super-productivity, borg-ui, code-server) | **two_factor** (Catch-all) | `authelia@file` Catch-all | `configuration.yml`; Haertung 2026-06-06 |
-| `komodo.kaleschke.info` | **Keine Authelia** (native) | bewusste Ausnahme, keine ForwardAuth (Webhooks/`/ws/periphery`) | DECISIONS 2026-04; **Audit-P1: public + RW-Docker-Socket → Tailscale-only geplant (Task #5)** |
+| `komodo.kaleschke.info` | **IP-Allowlist** (Tailnet + LAN), sonst 403; native (keine Authelia) | Traefik `ipallowlist` (Label) + native Komodo-Auth | DECISIONS 2026-06-23; Webhooks/Periphery laufen intern, nicht ueber Traefik |
 | `nextcloud` | Keine Authelia (native) | WebDAV/CardDAV/Client-Flows | DECISIONS 2026-04 / Ausnahmen-Tabelle |
 | `n8n.kaleschke.info` | Keine pauschale Authelia (native) | Webhook-Endpunkte `/webhook/*` | Ausnahmen-Tabelle; ⚠ Middleware-Abweichung lt. policy-check |
 | `plex.kaleschke.info` | Keine Authelia (native Plex) | File-Provider-Route; WAN-Port 32400 + Remote Access aus | DECISIONS 2026-05-28 |
@@ -50,9 +50,9 @@ buendelt das an **einem** Ort und **verlinkt** auf die Quellen statt zu kopieren
 
 ## Review-Gaps (Audit 2026-06-23)
 
-- **Komodo** ist die kritischste offene Position: public erreichbar + RW-Docker-
-  Socket. Plan: Tailscale-only (Task #5), interner Gitea→Komodo-Webhook bereits
-  als erreichbar bestaetigt (Task #4).
+- **Komodo**: beschlossen IP-Allowlist (Tailnet + LAN) statt public (DECISIONS
+  2026-06-23). Self-Stack ist inline in Komodo verwaltet → Labels via Komodo-UI
+  setzen (Task #6), dann verifizieren (#7).
 - **Bypass-Liste bewusst ohne 2FA**: Bei App-CVE oder Account-Kompromiss greift
   davor kein Authelia. Akzeptiert fuer Public-Apps mit eigenen Clients; Review-
   Trigger = neue sensible App in der Liste oder veraendertes Risikoprofil.