From c2fd6d17ca654dce18d56017b7d8c500326cae37 Mon Sep 17 00:00:00 2001 From: Daniel Allaire Date: Thu, 1 Oct 2026 12:27:17 -0400 Subject: [PATCH] postfix : la soumission (465/587) n'est ouverte que la ou elle existe Conditionnee a serveur_postfix_submission_actif, que seuls les locataires levent. Le relais du site fait sortir le courriel des machines par le 25 ; il n'a ni utilisateurs ni annuaire, et n'offre pas la soumission. Co-Authored-By: Claude Opus 5.5 --- roles/serveur_postfix/meta/flux.yml | 7 +++++++ 1 file changed, 7 insertions(+) diff --git a/roles/serveur_postfix/meta/flux.yml b/roles/serveur_postfix/meta/flux.yml index 94742d8..f208d84 100644 --- a/roles/serveur_postfix/meta/flux.yml +++ b/roles/serveur_postfix/meta/flux.yml @@ -11,16 +11,23 @@ flux: # LA SOUMISSION EST PUBLIQUE (2026-09-29) : les clients de courriel des utilisateurs # envoient depuis n'importe ou, par l'adresse publique du locataire. Toujours chiffree, # toujours authentifiee (SASL Dovecot) ; seuls les authentifies relaient. + # SEULEMENT LA OU LA SOUMISSION EXISTE (2026-10-01). Elle est derriere un interrupteur + # (`serveur_postfix_submission_actif`, faux par defaut) que seuls les locataires levent : + # elle suppose des utilisateurs, des boites et un annuaire. Le relais du SITE n'en a pas — + # il fait sortir le courriel des MACHINES, par le 25. Declares sans condition le + # 2026-09-29, ces deux flux ouvraient au site des ports vers un service inexistant. - sens: ingress port: 587 protocole: tcp pair: [flotte, externe] + seulement_si: {variable: serveur_postfix_submission_actif, egal: true} chiffrement: starttls raison: "Soumission authentifiée (STARTTLS obligatoire) : agents internes et clients de courriel des utilisateurs." - sens: ingress port: 465 protocole: tcp pair: [flotte, externe] + seulement_si: {variable: serveur_postfix_submission_actif, egal: true} chiffrement: tls-requis raison: "Soumission authentifiée en TLS direct (submissions, RFC 8314) : clients de courriel des utilisateurs." - sens: egress