Geprüfter Commit: 8387f28f3c1156c3c7f2d2d1328f8be1a365fec0 ("mysql: MariaDB nur auf 127.0.0.1 binden (WordPress hdm)")
Scope: hosts/blunix/localServices/wordpress.nix (+2 Zeilen, keine Löschungen)

Prüfmethoden:
- `git show 8387f28` / `git diff 8387f28~1 8387f28` zur Diff-Analyse
- `git grep -F "services.mysql"` und `git grep -F "bind-address"` im Baum von 8387f28, um andere Konfigurationsstellen für MariaDB oder konkurrierende bind-address-Setzungen auszuschließen -- keine Treffer außer der neuen Zeile
- `git grep -F "3306"` im Baum von 8387f28 -- keine Treffer, also keine Firewall-Öffnung oder anderweitige explizite Portbindung, die dem Loopback-Bind widerspricht
- Abgleich mit docs/intent/mariadb-bind-local.md: Umfang, Ausschlüsse und Annahmen des Intents

Befunde:
- Keine Korrektheits- oder Sicherheitsprobleme gefunden. Die Änderung setzt exakt den im Intent beschriebenen einzelnen Konfigurationswert, an der vorgesehenen Stelle, ohne zusätzliche Härtungsmaßnahmen oder WordPress-Änderungen -- deckt sich mit "Explizit ausgeschlossen".
- Stilistisch fügt sich die neue Zeile nahtlos in den bestehenden, unformatierten Code der Datei ein (die Datei ist ohnehin nicht einheitlich eingerückt); kein Regressionsrisiko.

Unsicherheiten:
- Keine Screenshot-Prüfung nötig, da keine HTML/CSS-Datei betroffen ist.
- Ob WordPress tatsächlich über TCP/127.0.0.1 statt über einen Unix-Socket verbindet, wurde nicht aus dem Diff selbst verifiziert (der Intent benennt dieses Risiko bereits selbst als gering und als "wirkungslos, aber unschädlich" im Fehlerfall) -- das lässt sich nur durch einen echten Rebuild/Funktionstest der WordPress-Instanz abschließend bestätigen, was außerhalb des read-only Diff-Reviews liegt.

Entscheidung: bereit für Deployment