diff --git a/roles/serveur_postfix/meta/flux.yml b/roles/serveur_postfix/meta/flux.yml
index 94742d8..f208d84 100644
--- a/roles/serveur_postfix/meta/flux.yml
+++ b/roles/serveur_postfix/meta/flux.yml
@@ -11,16 +11,23 @@ flux:
   # LA SOUMISSION EST PUBLIQUE (2026-09-29) : les clients de courriel des utilisateurs
   # envoient depuis n'importe ou, par l'adresse publique du locataire. Toujours chiffree,
   # toujours authentifiee (SASL Dovecot) ; seuls les authentifies relaient.
+  # SEULEMENT LA OU LA SOUMISSION EXISTE (2026-10-01). Elle est derriere un interrupteur
+  # (`serveur_postfix_submission_actif`, faux par defaut) que seuls les locataires levent :
+  # elle suppose des utilisateurs, des boites et un annuaire. Le relais du SITE n'en a pas —
+  # il fait sortir le courriel des MACHINES, par le 25. Declares sans condition le
+  # 2026-09-29, ces deux flux ouvraient au site des ports vers un service inexistant.
   - sens: ingress
     port: 587
     protocole: tcp
     pair: [flotte, externe]
+    seulement_si: {variable: serveur_postfix_submission_actif, egal: true}
     chiffrement: starttls
     raison: "Soumission authentifiée (STARTTLS obligatoire) : agents internes et clients de courriel des utilisateurs."
   - sens: ingress
     port: 465
     protocole: tcp
     pair: [flotte, externe]
+    seulement_si: {variable: serveur_postfix_submission_actif, egal: true}
     chiffrement: tls-requis
     raison: "Soumission authentifiée en TLS direct (submissions, RFC 8314) : clients de courriel des utilisateurs."
   - sens: egress