Recherche: PKI für mTLS-Client-Zertifikate und self-hosted Voice-Chat¶
Arbeitsstand der Recherche
Dieser Bericht ist eine Belegsammlung aus der D1-Session (27./28.10.2026). Er enthält Einschätzungen, die später anders entschieden wurden. Verbindlich ist das D1-Design.
Stand: 28.10.2026 · Kennzeichnung: [B] = belegt (Quelle + Abrufdatum), [E] = Einschätzung. Alle Quellen am 28.10.2026 abgerufen; Veröffentlichungsdatum steht dabei, wenn die Seite eines nennt.
Teil 1: PKI für mTLS (Home Assistant, Immich, 2 iPhones, Traefik v3.7)¶
1.1 Infisical Certificate Management: Funktionen¶
| Funktion | Stand | Beleg |
|---|---|---|
| Private CA (Root + Intermediate) | ja, Root und Intermediate in Infisical, Intermediate auch per „Manual“ von externer Root signierbar | [B] Docs „Internal CA“ (infisical.com/docs/documentation/platform/pki/ca/private-ca, o. D.) |
| Client-Zertifikate (EKU clientAuth) | ja, Policy-Preset „TLS Client Certificate“ (Client Auth, Digital Signature) und „User Certificate“; im Agent extended-key-usages: client_auth |
[B] Docs „Certificate policies“; Docs „Infisical Agent reference“ (o. D.) |
| Export als PKCS#12 (.p12) | ja, in der UI „Export → PEM oder PKCS12 (single encrypted bundle)“, eigener API-Endpunkt „Export certificate as PKCS12“; Passwort + Alias Pflicht | [B] Docs „Certificates“ (…/pki/applications/certificates); API-Ref …/certificates/pkcs12; Frontend-Code CertificatesSection.tsx |
| Ablauf / Erneuerung | serverseitige Auto-Renewal nur bei von Infisical verwalteten Schlüsseln; Agent-Renewal clientseitig | [B] Docs „API enrollment“ |
| Sperren / CRL / OCSP | Revoke mit Reason-Code, Zertifikat landet in der CRL der CA; CRL Distribution Point wird in jedes Zertifikat eingebettet (abschaltbar, bis zu 4 Mirror-URLs); OCSP-Schalter isOcspEnabled in der CA-API |
[B] Docs „CRL distribution points“; API-Ref „Revoke“, „Update internal CA“ |
| ACME / EST / SCEP | ACME + API in Free; EST und SCEP nur Enterprise | [B] Preisseite infisical.com/pricing |
| Alerts | Ablauf-Alerts per E-Mail; erweiterte Alerts/Slack/PagerDuty nur Enterprise | [B] Preisseite (widersprüchlich, s. u.) |
| Eigener CA-Schlüssel / HSM / BYOK | HSM-Integration und BYOK nur Enterprise; „Externally-signed intermediate CA“ nur Enterprise | [B] Preisseite; pricing.md |
1.2 Plan, Preis, Free-Nutzbarkeit¶
- Zertifikatsverwaltung wird getrennt von Secrets Management bepreist: nur Free und Enterprise, keine Stückkosten pro Zertifikat/CA/Identität; Enterprise „Custom, billed annually“, also kein öffentlicher Preis. [B] infisical.com/pricing.md
- Pro/Advanced (20 $ bzw. 40 $ pro Identität/Monat bei Jahreszahlung, 23 $/46 $ monatlich) betreffen nur Secrets Management und schalten in der PKI nichts frei. [B] pricing.md
- Free-Grenzen laut Preisseite: 1 interne oder ACME-basierte externe CA, bis zu 10 aktive Zertifikate (zählt eindeutige Namens-Sets, Erneuern zählt nicht neu), max. 5 SANs, keine Wildcards, API- und ACME-Enrollment, Dashboard, „Alerting via email“, Inventar. „Basic CRL support“ und OCSP stehen nur bei Enterprise. [B] infisical.com/pricing
- Widerspruch in Infisicals eigenen Quellen:
pricing.mdnennt für Free „bis zu 2 interne CAs, 10 aktive SANs“ und schreibt „Certificate inventory, alerting, auto-renewal: No“ sowie „Certificate syncs, CRL support: No“. Die HTML-Preisseite listet Alerting und Inventar dagegen im Free-Plan. [B] beide Seiten, 28.10.2026. → [E] vor einer Entscheidung im Free-Account selbst testen, was wirklich geht. - Für 2 Personen / 5 Geräte reichen die Free-Grenzen (5 Client-Zertifikate + ggf. Server-Zertifikate). [E]
- Menschen zählen in Secrets Management als Identität (5 im Free-Plan). Ob ein Machine Identity für den Cert-Agent auf dasselbe Kontingent geht, steht nicht ausdrücklich da; da es org-weit „any principal that authenticates“ heißt, ist es anzunehmen. [B] pricing.md Definition „identity“; [E] Anrechnung
1.3 Self-hosted Infisical¶
- Kern unter MIT, „free forever if you self-host“; Ausnahme
ee/-Verzeichnisse mit Enterprise-Lizenz, die einenLICENSE_KEYbrauchen. [B] github.com/Infisical/infisical README; docs/self-hosting/ee; backend/src/ee/LICENSE.md - Welche PKI-Funktionen im
ee/-Bereich liegen, ist nicht zentral dokumentiert. [E] Vermutlich deckt sich der Schnitt mit der Free/Enterprise-Tabelle (CRL, EST, Syncs, externes Intermediate = lizenzpflichtig). - Aktuelle Version: v0.167.2 vom 23.10.2026. [B] GitHub Releases
1.4 Vertrauensfrage: CA-Schlüssel in der Infisical Cloud EU¶
- Im Free-Plan liegt der private CA-Schlüssel in Infisical Cloud (KMS-verschlüsselt). Ein eigener Root, der nur das Intermediate signiert („externally-signed intermediate“), und BYOK/HSM sind Enterprise-Funktionen. [B] Preisseite
- Einordnung [E]:
- Der Zugangspfad bleibt ohne Fremdcloud: Traefik prüft das Client-Zertifikat lokal gegen die CA-Datei, ohne bei Infisical nachzufragen. Fällt Infisical aus, funktioniert der Zugang weiter.
- Der Vertrauensanker liegt aber in der Fremdcloud: Wer die Infisical-Org übernimmt (Phishing, Session-Token, Fehler bei Infisical), kann gültige Client-Zertifikate ausstellen und kommt durch die mTLS-Schicht. Danach bleibt nur noch der HA- bzw. Immich-Login. Genau dieses Risiko wollte Robin vermeiden, als er Nabu Casa abgelehnt hat. Infisical ist kein Proxy wie Nabu Casa, verschiebt aber die Ausstellungsgewalt nach außen.
- Bei 5 langlebigen Zertifikaten bringt Infisical außerdem kaum Automatik: Der Import auf dem iPhone bleibt Handarbeit, Auto-Renewal schreibt nichts aufs Telefon.
- Fazit [E]: Technisch geeignet und kostenlos, aber Robins Prinzip „kein Fremd-Vertrauen für den Zugang“ spricht dagegen. Ein offline gehaltener CA-Schlüssel ist für diesen Umfang einfacher und vertrauenswürdiger.
1.5 CA-Kette an Traefik liefern, Erneuerung automatisieren¶
- Traefik v3.7:
tls.options.<name>.clientAuth.caFiles(PEM, mehrere CAs je Datei möglich) +clientAuthType: RequireAndVerifyClientCert; die Option wird pro Router referenziert. [B] doc.traefik.io/traefik/v3.7/reference/routing-configuration/http/tls/tls-options/ - Traefik prüft keine CRL und kein OCSP. Ein PR dafür (#7614, 2020) wurde abgelehnt, die Maintainer empfehlen kurzlebige Zertifikate. Eine Community-Anfrage von 07/2025 bestätigt, dass es weiter fehlt. [B] github.com/traefik/traefik/pull/7614; community.traefik.io (14.07.2025)
- Infisical Agent (Cert-Modus):
infisical cert-manager agent --config …, schreibt Zertifikat, Schlüssel und Kette (chain.path,omit-root) in Dateien, erneuert vor Ablauf (renew-before-expiry), Post-Hookson-issuance/on-renewal/on-failure. Mitcertificate-idlässt sich auch ein bestehendes Zertifikat nur abholen. [B] Docs „Infisical Agent reference“; github.com/Infisical/clicertificate-agent-config.yaml - [E] Für
caFilesbraucht Traefik nur das öffentliche CA-Zertifikat. Das ändert sich höchstens alle paar Jahre, eine Automatik lohnt also nicht: einmal herunterladen, ins Repo legen (es ist nicht geheim) und als Verzeichnis mounten (Gotcha Einzeldatei-Inode). Die Agent-Templates lohnen sich für Server-Zertifikate, nicht für Client-.p12 auf iPhones.
1.6 Selbst gehostete Alternativen¶
| Option | Client-Zert. + .p12 | Sperren | Ressourcen / Pflege | Bewertung |
|---|---|---|---|---|
| openssl-/step-CLI-Skript, CA offline | ja; step certificate p12 … --ca intermediate.crt erzeugt .p12 [B] smallstep docs „step certificate p12“ |
per CRL-Datei oder durch Entfernen der CA aus caFiles |
kein Dienst; ca. 1 h Einrichtung, je Gerät ca. 15 min alle 1–2 Jahre [E] | Favorit für 5 Geräte [E] |
| smallstep step-ca v0.30.2 (23.03.2026) [B] GitHub Releases | ja, über Provisioner (JWK/OIDC); .p12 per step CLI | Standard ist „passive revocation“ (sperrt nur die Erneuerung, das Zertifikat bleibt bis zum Ablauf gültig); eingebauter CRL-Server ist minimal und in der Konfiguration „experimental“ [B] smallstep docs „Revocation“, „Production considerations“, „Configuration“ | ein Go-Dienst + DB, wenig RAM [E] | lohnt sich erst mit ACME/kurzlebigen Zertifikaten; iPhones können kein ACME für Client-Zertifikate → Overkill [E] |
| Caddy PKI | Caddys interne CA zielt auf Server-Zertifikate bzw. ACME, ein Ausstell-Workflow für Client-.p12 fehlt [E] | – | – | ungeeignet [E] |
| OpenBao/Vault PKI | ja, voll (CRL, OCSP, Rollen) [E] | ja | eigener Dienst mit Unseal, Storage, Backup | für 5 Zertifikate stark überdimensioniert [E] |
| Infisical Cloud (Free) | ja, .p12-Export | Revoke + CRL-Dist.-Point; „CRL support“ laut Preisseite Enterprise | kein eigener Dienst | geeignet, aber CA-Key in Fremdcloud (s. 1.4) |
Traefik-Plugin tlscrlchecker (Miladbr): Middleware, liest eine CRL-Datei (PEM/DER), prüft minütlich auf Änderungen und blockt gesperrte Seriennummern. [B] plugins.traefik.io (27.10.2024); GitHub README. Quellcode-Prüfung (main.go, letzter Commit 27.10.2024, 8 Sterne):
- Fail-open: Fehlt die CRL-Datei oder ist sie unlesbar, lautet der Log „Proceeding without CRL checks“ und alle Anfragen gehen durch. [B] main.go
- Die Signatur der CRL und nextUpdate werden nicht geprüft, verglichen wird nur die Seriennummer ohne Aussteller. [B] main.go
- Plugins laufen in Traefik im Yaegi-Interpreter, und das Projekt ist seit 2 Jahren unverändert. → [E] nicht für die Sicherheitsgrenze verwenden.
Sperren ohne CRL [E]: Bei 2–5 Geräten eine kleine CA je Gerät (oder je Person) ausstellen, alle in caFiles eintragen. Gesperrt wird, indem man die CA-Datei aus dem gemounteten Verzeichnis entfernt. Traefik lädt den File-Provider neu, und das Gerät ist sofort draußen, ohne Plugin und ohne CRL-Dienst. Alternativ alle Geräte neu ausstellen und das alte CA-Zertifikat entfernen.
1.7 iOS-Fallstricke (gelten für jede PKI-Variante)¶
- HA Companion iOS: mTLS ist offiziell „EXPERIMENTAL“. Die App importiert die .p12 selbst (Onboarding bzw. Server-Einstellungen → Client Certificate), Ablage im iOS-Keychain. Webhooks und WebSocket nutzen das Zertifikat ebenfalls. Laut Community-Leitfaden funktioniert es nicht auf der Apple Watch, und Local Push kann über die Client-Zertifikat-Verbindung ausfallen. Ein iOS-Profil allein reicht nicht für die App, nur für Safari. [B] github.com/home-assistant/iOS docs/mTLS.md; community.home-assistant.io „[GUIDE] Secure Remote (mTLS) and Local HA Access“
- Immich iOS: Seit v2.5/2.6 (03/2026) nutzt die App native HTTP-Clients mit mTLS. [B] immich.app/blog/v2.6.0-release (19.03.2026). Dazu gibt es Fehlerberichte: .p12-Import auf iOS 16 schlägt mit
keychainError(-26276)fehl (#27362, 28.03.2026), und auf iOS 26.5 präsentierte App 3.0.2 das Zertifikat bei der externen URL nicht (#29861, 12.07.2026, geschlossen). [B] GitHub Issues. → [E] Immich-mTLS vor dem Rollout mit genau den beiden iPhones testen. - .p12-Format: Apples Security.framework lehnt OpenSSL-3-Standard-.p12 (PBES2/AES-256, SHA-256-MAC) mit „MAC verification failed / wrong password“ ab. Lösung:
openssl pkcs12 -export … -keypbe PBE-SHA1-3DES -certpbe PBE-SHA1-3DES -macalg sha1(oder-legacy, bzw.step certificate p12 --legacy). [B] agents.stackoverflow.com TIL (macOS 26.5.2 / OpenSSL 3.6.3, o. D.); forum.volt.build (05.05.2023). [E] Welches Format Infisicals PKCS12-Export erzeugt, ist nicht dokumentiert, also testen.
1.8 Empfehlung Teil 1 [E]¶
- Offline-CA per Skript (openssl oder
stepCLI): Root-Schlüssel verschlüsselt offline (Notfallkopie in Proton Pass, passt zur Regel für kritische Infra-Secrets), je Person eine Client-CA, Client-Zertifikate mit 2 Jahren Laufzeit, .p12 im Legacy-Format, CA-Zertifikate als Verzeichnis-Mount für Traefik. Sperren durch Entfernen der CA-Datei. Ablaufüberwachung: ein Blackbox-/Skript-Check, der dienotAfterder ausgestellten Zertifikate an ntfy meldet (90 Tage vorher). - Infisical Free nur, wenn Robin die Ausstellungsgewalt bewusst in die Cloud geben will. Dann gilt: CRL-Distribution-Point deaktivieren (Traefik nutzt ihn nicht), .p12-Export auf dem iPhone testen, 2FA und knappe Rechte für die Org. Enterprise lohnt für diesen Umfang nicht (Preis nur auf Anfrage, Jahresvertrag).
- step-ca / OpenBao erst, wenn später viele Geräte oder kurzlebige Zertifikate per ACME dazukommen (z. B. Agenten-Fabrik, Talos).
Teil 2: Self-hosted Alternative zu TeamSpeak 3 / Discord¶
2.1 Kontext 2026¶
- Anfang 2026 sind viele Nutzer wegen der Altersverifikation von Discord abgewandert. TeamSpeak meldete volle Kapazitäten, Stoat +150 000 Nutzer in einer Woche, Fluxers Server brachen zeitweise unter dem Ansturm zusammen. [B] Gamers Nexus „RIP Discord: Self-Hosted Discord Alternatives Tested“ (15.03.2026)
- TS3: Das End-of-Life ist für 31.12.2027 angepeilt, als „Ziel“, nicht als festes Datum. Bis dahin gibt es nur Sicherheitspatches, keine Features. Letzter Server ist 3.13.8 (27.05.2026, Sicherheitsfixes). [B] teamspeak.com/en/terms-and-conditions §12; community.teamspeak.com (24.06.2026, 28.04.2026); wiki.licenseware.io (abgerufen dort 14.10.2026)
2.2 Kandidaten im Überblick¶
| Kandidat | Reife Okt. 2026 | Clients | Voice / PTT / Screen | Ressourcen | Lizenz / Kosten | Freunde einladen |
|---|---|---|---|---|---|---|
| TeamSpeak 6 Server | Beta (6.0.0-beta13.1, 22.09.2026); Client 6.0.0-beta5 (13.10.2026) [B] | TS6: Win/macOS/Linux; mobil nur TS3-App; TS3-Clients ≥ 3.6.0 können sich verbinden [B] support.teamspeak.com; TS-Community | sehr gute Sprache, PTT; Screen-Share P2P, serverseitige SFU „in Entwicklung“ [B] Community (14.03. und 17.09.2026) | klein [E] | proprietär; 32-Slot-Beta-Lizenz, läuft alle ~2 Monate ab (aktuell 01.12.2026), Server muss dann aktualisiert werden; TS6-Preise noch offen; TS3-Lizenzen nicht übertragbar, keine Migration TS3→TS6 [B] GitHub README; Licensing-Seite | Adresse + Passwort, Freunde kennen TS |
| Mumble | stabil 1.5.939 (09.10.2026); 1.6 RC2 (23./25.10.2026) [B] mumble.info | Win/macOS/Linux; Android: Mumla (Dritt-App); iOS: offizielle App seit 2017 unmaintained, Alternativen Mumblefy/Sonant (Dritt-Apps) [B] mumble.info/downloads; App Store | niedrigste Latenz, PTT, Positional Audio, Overlay; kein Screen-Share [B]/[E] | sehr klein [E] | BSD-3, kostenlos [B] opentools.dev (18.10.2026) | Adresse, Gäste ohne Konto [B] Lemmy-Kommentar (16.03.2026) |
| Matrix (Tuwunel/Synapse) + Element Call/LiveKit | Synapse 1.163.0, Tuwunel 1.9.4 (10.10.2026), LiveKit 1.13.10, lk-jwt-service 0.9.0, Element Call 0.28.0 (alle Okt. 2026) [B] matrixdocs.github.io (Stand 18.10.2026) | Element Web/Desktop/X (iOS/Android) | Gruppen-Calls E2EE über eigene SFU, Video, Screen-Share; Drop-in-Sprachkanäle wie Discord gibt es nicht, Calls laufen pro Raum [E] | Homeserver + LiveKit + JWT-Dienst; Tuwunel klein, aber Cache-Tuning auf ≤ 2 GiB nötig [B] Tuwunel 1.7.0 Release Notes | Apache-2.0 / AGPL; kostenlos | Konten anlegen, Element X einrichten (Hürde) [E] |
| Fluxer | Instanz fluxer.app > 500 000 Nutzer (19.10.2026); Self-Hosting per rexctl; Desktop verbindet sich seit 12.10.2026 mit eigenen Instanzen, iOS/Android im öffentlichen Beta (TestFlight/Play-Beta) [B] fluxer.app/blog (24.10.2026) |
Desktop, Web, iOS/Android (Beta) | Discord-Klon: Sprachkanäle, Video, Screen-Share über LiveKit; neues A/V-System angekündigt [B] fluxer.app; docs.fluxer.app/voice | mind. 2 Kerne / 4 GB RAM / 20 GB [B] fluxer.app/selfhost | AGPL-3.0, keine Lizenz-Editionen [B] | Einladungslink, Login nur mit Nutzername möglich [B] |
| Stoat (ex Revolt) | Backend 0.12.0 (28.03.2026); Video/Screen-Share seit 17.07.2026 [B] GitHub CHANGELOG; stoat.chat Release Notes | Die meisten offiziellen Clients unterstützen keine eigenen Instanzen, nur Web/PWA [B] github.com/stoatchat/self-hosted README | LiveKit; Voice im offiziellen Self-Host-Repo erst seit Ende Feb. 2026 (vorher Fork nötig) [B] Issue #194 (Feb. 2026) | empfohlen min. 2 vCPU / 2 GB [B] README | AGPL-3.0 | Web-Link [E] |
| Spacebar | Server „in development“, Client „not ready for production“; Voice nur experimentell über WebRTC, ohne UDP [B] docs.spacebar.chat FAQ | Discord-kompatible Dritt-Clients | experimentell | – | AGPL | – |
| Rocket.Chat | reif, aber auf Teams ausgerichtet; Community Edition: nur Kern-Messaging, Calls nur über Jitsi/BBB, „Rocket.Chat Voice“ = Premium [B] docs.rocket.chat „Our plans“, „Rocket.Chat Voice“ | alle | Konferenz statt Sprachkanal | MongoDB + Node, schwer [E] | MIT-Kern, ee/ kommerziell |
– |
| Zulip / Jitsi | Zulip ist forenartig, Jitsi ein Meeting-Tool ohne dauerhafte Kanäle [B] Gamers Nexus; [E] | – | – | Jitsi schwer [E] | – | – |
2.3 Was Homelab-Gamer 2026 tatsächlich nutzen¶
- Getestet und diskutiert werden vor allem TeamSpeak, Stoat, Fluxer und Matrix. Gamers Nexus fand den TS-Server am leichtesten aufzusetzen und den besten Ersatz für Discord-Voice. Bemängelt wurden fehlender dauerhafter Chat und dass man zum Schreiben im Kanal sein muss. Matrix wurde als datenschutzstark bewertet, Stoat scheiterte im lokalen Self-Hosting, Fluxers Self-Hosting-Doku war damals ein 404. [B] Gamers Nexus (15.03.2026)
- Wer nur „ein, zwei Räume zum Abhängen“ braucht, wählt in Diskussionen oft Mumble. [B] Lemmy (16.03.2026). Andere Nutzer berichten, dass Video und Screen-Share bei Fluxer unter Linux noch fehlerhaft sind. [B] vargar.org-Thread (o. D.)
- [E] Der Trend: TeamSpeak/Mumble für reine Sprache, Fluxer als aufsteigender Discord-Klon, Matrix für alle, die ohnehin Messaging/Bridges wollen.
2.4 Top 4 und Empfehlung [E]¶
| Rang | Option | Passt auf VPS (≈ 2 GB frei) | Pflege | Stärke | Schwäche |
|---|---|---|---|---|---|
| 1 | TS3 weiterlaufen lassen → TS6, sobald stabil und lizenziert | ja | sehr gering | Freunde kennen es, TS3-Clients verbinden sich mit TS6, beste Sprachqualität | proprietär, TS6-Lizenzpreis offen, Beta-Lizenz alle 2 Monate, keine Datenmigration |
| 2 | Mumble 1.5 (1.6 bald stabil) | ja, mit Abstand am sparsamsten | sehr gering | Open Source, Latenz, PTT, Gäste ohne Konto | iOS-Client-Lage schlecht, kein Screen-Share, altbackene UI |
| 3 | Fluxer | nein (4 GB Minimum), zu Hause oder größerer VPS | mittel (rexctl automatisiert Upgrades und Backups) | Discord-ähnlichstes Gesamtpaket inkl. Screen-Share und mobiler Apps | sehr jung, mobile Apps Beta, Self-Hosting erst seit wenigen Wochen mit Apps nutzbar |
| 4 | Matrix (Tuwunel) + Element Call/LiveKit | knapp ja | hoch (4 Komponenten, MSC-Flags) | E2EE, offen, auch als Messenger nutzbar | keine Discord-Sprachkanäle, Einstieg für Freunde mühsam |
Empfehlung [E]: 1. Jetzt nichts überstürzen: TS3 läuft bis mindestens Ende 2027 mit Sicherheitspatches. Den TS6-Server parallel auf dem VPS testen (Docker, ein UDP-Port). Freunde mit TS6- oder TS3-Client ≥ 3.6.0 kommen sofort drauf. Entscheidung, sobald TS6 stabil ist und die Lizenzpreise feststehen. 2. Wer „frei und dauerhaft“ will: Mumble als schlanker Ersatz für reine Sprache. Das iPhone-Problem vorher mit Mumblefy/Sonant testen. 3. Fluxer beobachten (Checkpoint z. B. Q1 2027): Wenn die mobilen Apps aus der Beta kommen und das neue A/V-System erschienen ist, wäre das der Discord-ähnliche Kandidat. Zu Hause oder auf einem VPS mit ≥ 4 GB frei. 4. Stoat (eigene Instanz nur über Web/PWA), Spacebar (Voice experimentell), Rocket.Chat, Zulip und Jitsi passen nicht zum Anwendungsfall.
Überraschende Befunde¶
- Das Traefik-CRL-Plugin
tlscrlcheckerist fail-open: Fehlt die CRL-Datei, lässt es jede Anfrage durch. Die CRL-Signatur prüft es nicht, und es ist seit 10/2024 unverändert. [B] Quellcode main.go - Infisical widerspricht sich bei der Free-PKI selbst: Preisseite und
pricing.mdnennen unterschiedliche Grenzen (1 vs. 2 CAs, 10 Zertifikate vs. 10 SANs, E-Mail-Alerts ja vs. nein). CRL-Unterstützung ist in beiden Quellen Enterprise-only, obwohl die Docs Revoke→CRL beschreiben. [B] beide Seiten - Fluxer ist innerhalb von 8 Monaten von null auf 500 000 Nutzer gewachsen, die Apps verbinden sich erst seit 12.10.2026 mit eigenen Instanzen. Der TS6-Server ist dagegen nach fast 2 Jahren noch Beta, mit einer Lizenz, die alle 2 Monate abläuft. [B]
- HA- und Immich-mTLS auf iOS sind fragiler als gedacht: HA nennt es „experimental“, und Immich hatte 2026 mehrere iOS-mTLS-Bugs nach dem Umbau auf native HTTP-Clients. [B]
Quellen (Auswahl, alle abgerufen 28.10.2026)¶
- Infisical: infisical.com/pricing; infisical.com/pricing.md; Docs PKI overview, private-ca, policies, api enrollment, certificates, crl-distribution, reference/infisical-agent; API-Ref certificates/pkcs12, revoke, ca/internal/update; docs/self-hosting/ee; GitHub README, ee/LICENSE.md, Releases (v0.167.2, 23.10.2026); github.com/Infisical/cli certificate-agent-config.yaml
- Traefik: doc.traefik.io v3.7 TLS options; PR #7614 (03.12.2020, geschlossen 12.01.2021); community.traefik.io CRL-Thread (14.07.2025); Plugin tlscrlchecker (plugins.traefik.io 27.10.2024; GitHub main.go)
- smallstep: docs step-ca/revocation, production considerations, configuration, step certificate p12; GitHub Releases v0.30.2 (23.03.2026)
- Home Assistant: github.com/home-assistant/iOS docs/mTLS.md; companion.home-assistant.io getting_started; community.home-assistant.io mTLS-Guide
- Immich: Blog v2.6.0 (19.03.2026); Issues #27362 (28.03.2026), #29861 (12.07.2026); PRs #25802, #25942
- PKCS#12/Apple: agents.stackoverflow.com TIL (macOS 26.5.2); forum.volt.build (05.05.2023)
- TeamSpeak: GitHub teamspeak6-server README + Releases (beta13.1, 22.09.2026); support.teamspeak.com Self-Host-Artikel (03.10.2026) und Kompatibilität TS3/TS6; teamspeak.com licensing, downloads, get-started, terms §12; community.teamspeak.com Ankündigungen (22.01., 14.03., 28.04., 24.06., 17.09., 13.10.2026)
- Mumble: mumble.info downloads, Blog 1.6 RC (01.03.2026), RC2 (23.10.2026); GitHub Releases; App Store Mumble/Mumblefy/Sonant
- Matrix: matrixdocs.github.io element-call, overview, servers/comparison (Stand 18.10.2026); element-hq/element-call self_hosting.md; Tuwunel Releases 1.7.0 (21.05.2026), 1.8.2 (17.07.2026), RELEASE.md 1.9.4 (10.10.2026)
- Fluxer: fluxer.app, fluxer.app/selfhost, Blog „Self-hosting and the Operator Pass“ (24.10.2026), docs.fluxer.app/voice, GitHub README (15.06.2026)
- Stoat: github.com/stoatchat/self-hosted README; stoatchat CHANGELOG (0.12.0, 28.03.2026); stoat.chat Release Notes (17.07.2026); self-hosted Issue #194 (Feb. 2026)
- Spacebar: docs.spacebar.chat FAQ + Voice; Rocket.Chat: docs.rocket.chat our-plans, conference-call, rocketchat-voice
- Marktbild: Gamers Nexus (YouTube, 15.03.2026); opentools.dev Discord-Alternativen (18.10.2026); Lemmy (16.03.2026)