docs: add visible ISSUES.md for live koopa findings

Separate issue list: firewalld Nym ports, nym bond, podman-restart untested,
stray containers, API bind, cleanup candidates.

ISSUES.md

@@ -0,0 +1,123 @@
+# Offene Issues (sichtbar)
+
+Stand: **2026-07-16** (koopa live scan). Keine Secrets.
+
+---
+
+## I-2026-07-16-01 — firewalld: Nym-Ports auf koopa unbestätigt
+
+| | |
+|--|--|
+| **Severity** | high (für öffentliche Nym-Erreichbarkeit) |
+| **Host** | koopa |
+| **Status** | open |
+
+VeciGate DNATed **1789/tcp+udp**, **1790/tcp**, **51822/udp** → koopa.  
+Ohne passende **firewalld**-Freigabe auf koopa bleibt der Traffic am Host stecken.
+
+Agent konnte `firewall-cmd` nicht prüfen/ändern (**sudo Passwort nötig**).
+
+```bash
+# auf koopa (mit sudo)
+sudo firewall-cmd --permanent --add-port=1789/tcp
+sudo firewall-cmd --permanent --add-port=1789/udp
+sudo firewall-cmd --permanent --add-port=1790/tcp
+sudo firewall-cmd --permanent --add-port=51822/udp
+sudo firewall-cmd --reload
+sudo firewall-cmd --list-ports
+```
+
+---
+
+## I-2026-07-16-02 — Nym-Node nicht gebondet / nicht im Explorer
+
+| | |
+|--|--|
+| **Severity** | medium (ops / Sichtbarkeit im Nym-Netz) |
+| **Host** | koopa (`koopa-nym`) |
+| **Status** | open |
+
+Container **läuft** (mixnode), API `9080` antwortet.  
+Ohne **Bond** in der Nym-Wallet erscheint die Node typischerweise **nicht** in Harbour Master / Explorer (anders als Tor nach ORPort-Publish).
+
+Logs: WARN `validator.nymtech.net/api/.../refresh-described` → **404** (API-Pfad/Version; Node mischt trotzdem).
+
+---
+
+## I-2026-07-16-03 — `podman-restart.service` enabled, session noch inactive
+
+| | |
+|--|--|
+| **Severity** | low (bis Reboot getestet) |
+| **Host** | koopa (user hernani) |
+| **Status** | open / expected until reboot |
+
+`systemctl --user is-enabled podman-restart` = **enabled**,  
+`is-active` = **inactive** (oneshot, diese Boot-Session noch nicht gelaufen).
+
+Nach Reboot prüfen:
+
+```bash
+systemctl --user is-active podman-restart.service
+podman ps -a --filter should-start-on-boot=true --format '{{.Names}} {{.Status}}'
+```
+
+---
+
+## I-2026-07-16-04 — Streucontainer `kind_taussig`
+
+| | |
+|--|--|
+| **Severity** | low (Hygiene) |
+| **Host** | koopa |
+| **Status** | open |
+
+Container **Up** seit ~5 Tagen: `kind_taussig` (`debian:bookworm-slim`),  
+einmaliges Wallet-/DEB-Testskript, **`restart=no`**, kein Prod-Name.
+
+Kandidat zum **Stoppen/Entfernen**, sobald Logs nicht mehr gebraucht werden:
+
+```bash
+podman stop kind_taussig
+podman rm kind_taussig
+```
+
+---
+
+## I-2026-07-16-05 — Alte exited Podman-Container (Müll)
+
+| | |
+|--|--|
+| **Severity** | low (Hygiene) |
+| **Host** | koopa |
+| **Status** | open |
+
+Mehrere **Exited**-Container (Monate/Jahre alt), u. a. `pensive_dubinsky`,  
+`hardcore_edison`, `taler-exchange-no-network`, `debian00`, …  
+Kein Autostart; belasten nur `podman ps -a`.
+
+Optional aufräumen: `podman container prune` (nur exited, nach Sichtprüfung).
+
+---
+
+## I-2026-07-16-06 — Nym HTTP-API `*:9080` lauscht host-weit
+
+| | |
+|--|--|
+| **Severity** | low–medium (Angriffsfläche) |
+| **Host** | koopa |
+| **Status** | open (bewusst so im compose) |
+
+`ss` zeigt **\*:9080** (rootlessport). **Kein** VeciGate-DNAT auf 9080.  
+Von WAN ohne NAT i. d. R. nicht erreichbar; von LAN erreichbar.
+
+Härten optional: Publish nur `127.0.0.1:9080:8080` in compose.
+
+---
+
+## Erledigt / kein Issue (Scan)
+
+- Alle `should-start-on-boot` Prod-Container **Up**
+- Keine failed user units
+- Taler 9010–9015 antworten (401/302 ok)
+- Linger=yes, container-* units enabled