# Intent: MariaDB lokal binden

## Ziel
MariaDB, das ausschließlich von der lokalen WordPress-Instanz genutzt wird, soll nicht mehr auf allen Interfaces (0.0.0.0:3306) erreichbar sein, sondern nur lokal.

## Umfang
- In `hosts/blunix/localServices/wordpress.nix` (dort wird `services.mysql` implizit über `services.wordpress.sites."hdm"` aktiviert) einen expliziten Block `services.mysql.settings.mysqld.bind-address = "127.0.0.1";` ergänzen (Loopback bevorzugt, da WordPress laut vorhandener Konfiguration ohnehin lokal über 127.0.0.1 angesprochen wird).

## Explizit ausgeschlossen
- Keine sonstigen MariaDB-Härtungsmaßnahmen (Auth, TLS, User-Rechte etc.).
- Keine Änderung an der WordPress-Konfiguration selbst über das Binding hinaus.
- Keine neue eigenständige MariaDB-Moduldatei, sofern die bestehende implizite Aktivierung über wordpress.nix ausreicht.

## Annahmen
- Es existiert aktuell keine explizite services.mysql.settings-Konfiguration im Repo; MariaDB läuft mit NixOS-Standardwerten (u.a. Standard-Bind auf allen Interfaces).
- WordPress verbindet sich bereits lokal (Virtualhost "hdm" lauscht auf 127.0.0.1:8055), sodass ein Loopback-Bind der DB die Funktion nicht beeinträchtigt.

## Risiken
- Gering, solange bind-address exakt das Interface trifft, über das WordPress tatsächlich verbindet -- falls WordPress stattdessen über einen Unix-Socket verbindet, ist die Einstellung wirkungslos, aber unschädlich.

## Erfolgskriterien
- MariaDB lauscht nicht mehr auf 0.0.0.0:3306.
- MariaDB ist nur über das benötigte lokale Interface erreichbar.
- WordPress funktioniert nach dem Rebuild unverändert weiter.