journal : aucune exception, la soumission suit son interrupteur

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CHANGELOG.md

@@ -1,5 +1,23 @@
 # CHANGELOG — Set-OPS
 
+## 2026-10-01 (57) — Aucune exception : la soumission n'est ouverte que là où elle existe
+
+J'avais présenté `site-mon-01:465/587` (« sans service ») comme une exception tolérable.
+L'exploitant l'a refusée : « je ne comprends pas pourquoi on tolérerait cette exception » —
+et a demandé si c'était le relais qui avait une lacune. Il n'en a pas : le relais du site fait
+sortir le courriel des MACHINES par le 25 ; la soumission (465/587) est la porte des PERSONNES,
+authentifiée par l'annuaire — que le site n'a pas, par conception. Le défaut était dans le
+registre : ces deux flux, ajoutés le 2026-09-29, avaient été déclarés pour toute instance de
+Postfix, sans suivre l'interrupteur qui active le service (`serveur_postfix_submission_actif`,
+faux par défaut, levé par les seuls locataires). Ils le suivent désormais (`seulement_si`).
+
+Site : `site-mon-01` perd ses deux règles ; les 9 machines, sonde lancée directement après le
+déploiement (simulé d'abord) : **tous les flux déclarés ouverts, aucun « sans service »,
+aucune entrée hors des règles**. Locataires et frontière : inchangés (`edge-mta-01` garde ses
+465/587, la frontière ses redirections publiques).
+
+Les trois niveaux de pare-feu n'ouvrent plus aucun port où rien n'écoute — sans exception.
+
 ## 2026-10-01 (56) — Le registre des flux sait dire « seulement si » ; la sonde au site
 
 **Le registre ne savait pas exprimer une condition.** La sonde `connectivite` montrait, chaque