---
# Flux réseau de rspamd (antispam + DKIM, milter Postfix). Voir docs/flux-conception.md.
flux:
  - sens: ingress
    port: 11332
    protocole: tcp
    pair: localhost
    chiffrement: clair
    raison: "Protocole milter consommé par Postfix co-localisé (analyse + signature DKIM). Local uniquement."
  - sens: ingress
    port: 11334
    protocole: tcp
    pair: localhost
    chiffrement: clair
    raison: "Interface de contrôle rspamd (statistiques, apprentissage) en local."

  # LES CARTES DE RSPAMD VIENNENT D'INTERNET, ET C'EST UN CHOIX (2026-10-10).
  #
  # Jusqu'ici rien ne le disait : rspamd sortait par la sortie 80/443 que le socle donnait
  # a TOUTE machine. Mesure a la frontiere : ~2 700 connexions par jour et par locataire
  # vers maps.rspamd.com, ~245 vers sa-update.surbl.org, depuis `edge-mta-01` seulement.
  #
  # Sans elles, rspamd ne tombe pas : chaque carte distante a son repli local
  # (`file:///etc/rspamd/maps.d/…`), fige a la version du paquet. Les listes de messageries
  # gratuites, de redirecteurs, d'hameconnage et de listes blanches DMARC vieilliraient en
  # silence. On garde donc la sortie — mais declaree, et pour ce seul role, comme le 25
  # sortant de Postfix.
  - sens: egress
    port: 443
    protocole: tcp
    pair: externe
    chiffrement: tls-requis
    raison: >-
      Cartes de rspamd (maps.rspamd.com) : messageries gratuites et jetables, redirecteurs,
      listes blanches DMARC/SPF/DKIM, hameconnage. Sans elles l'antispam garde les copies
      du paquet, qui vieillissent.
  - sens: egress
    port: 80
    protocole: tcp
    pair: externe
    chiffrement: clair
    raison: >-
      Carte de hachages SURBL (sa-update.surbl.org), publiee en clair par l'amont. Une
      carte alteree ne peut que mal classer un courriel ; elle n'execute rien.