Set-OPS-Public/roles/serveur_dovecot/templates/sonde-boites.sh.j2

#!/bin/bash
# GENERE par Set-OPS (role serveur_dovecot). Ne pas editer a la main.
#
# SONDE « boites » — Dovecot repond et trouve un compte dans l'annuaire
#
# Contrat : docs/supervision-conception.md (API des greffons Nagios) — une ligne, 0/1/2.
# Mise en defaut PAR PARAMETRE : `serveur_dovecot_sonde_utilisateur` (compte inexistant).
set -uo pipefail

UTILISATEUR={{ serveur_dovecot_sonde_utilisateur | quote }}

[[ -n "${UTILISATEUR}" ]] || { echo "Aucun compte a chercher (serveur_dovecot_sonde_utilisateur vide)."; exit 3; }
systemctl is-active --quiet dovecot || { echo "Dovecot n'est pas actif."; exit 2; }

# LE PASSDB, PAS LE USERDB (2026-10-12). La sonde demandait `doveadm user`, et le userdb est
# `static` avec `static_allow_all_users` (requis par la remise LMTP) : il repond pour
# N'IMPORTE QUEL nom. Elle disait « daniel » resolu chez deux locataires ou ce compte
# n'existe pas — verte quoi qu'il arrive.
#
# `doveadm auth lookup` interroge le passdb : Dovecot cherche le compte dans l'annuaire,
# sous SON compte de liaison, en LDAPS, avec le filtre de connexion. Aucune tentative de
# mot de passe — rien ne compte pour le verrouillage du compte. Mesure : 0 s'il existe,
# 67 s'il n'existe pas, une erreur si l'annuaire ne repond plus.
sortie=$(doveadm auth lookup "${UTILISATEUR}" 2>&1)
rc=$?
if [[ ${rc} -eq 67 ]]; then
  echo "Dovecot ne trouve pas « ${UTILISATEUR} » dans l'annuaire : plus personne de ce nom ne peut se connecter."
  exit 2
elif [[ ${rc} -ne 0 ]] || ! printf '%s' "${sortie}" | grep -q '^passdb: '; then
  echo "Dovecot n'interroge plus l'annuaire (rc=${rc}) : ${sortie:0:70}"
  exit 2
fi
echo "Dovecot : « ${UTILISATEUR} » trouve dans l'annuaire (passdb LDAP), service actif."