wkd — OpenPGP Web Key Directory (publieke PGP-sleutels, advanced method)

Mailclients (GnuPG, Thunderbird, Mailvelope, Proton-lookup, …) vinden hiermee automatisch de publieke PGP-sleutel bij een mailadres. Route-B image-app op de derden-box; per domein een subdomein openpgpkey.<domein> → https://openpgpkey.<domein>/.well-known/openpgpkey/<domein>/hu/<hash>?l=<local-part>.

push naar main → Forgejo Actions (act_runner docgen): stage 1 bouwt met gpg-wks-client de hu/-boom
  uit keys/<domein>/<adres>.asc, stage 2 = nginx die 'm serveert
  → push naar git.doc-gen.eu/wsfcqyxbu1/wkd:latest
  → host-watcher (docgen, |remote-entry) ziet de nieuwe digest → Coolify deployt op de derden-box

• Alles staat in git (publieke sleutels zijn geen geheim); geen volumes, geen env, geen back-up nodig.
• Alleen publieke sleutels. De build faalt op een PRIVATE KEY BLOCK, op een bestandsnaam die niet bij de domeinmap hoort, en op een sleutel zonder UID met exact dat adres.
• Hash-regel (spec, draft-koch-openpgp-webkey-service): hu/<z-base-32(SHA-1(local-part in lowercase))>; wij rekenen 'm nooit zelf uit — gpg-wks-client --install-key doet dat, en exporteert alléén de UID van dat adres (andere UIDs moeten eruit). Controle: gpg-wks-client --print-wkd-hash <adres>.
• Sleutel toevoegen/vernieuwen: keys/<domein>/<adres>.asc (= gpg --export --armor <adres>) → commit + push. Nieuw domein = nieuwe map keys/<domein>/ + DNS openpgpkey.<domein> + domein op de Coolify-app.
• Headers: Content-Type: application/octet-stream, Access-Control-Allow-Origin: *; policy is leeg (verplicht bestand). Toegangslog staat uit (geen sporen van wie welk adres opvraagt).
• Versie: FROM alpine:<tag> (build) + FROM nginx:<tag>-alpine (runtime) in de Dockerfile.

Beheer/runbook: infra-repo wSFcQyxBu1/infra, runbooks/wkd-pgp-sleutels.md; issue infra#88.