---
# Flux réseau de Postfix (MTA). Voir docs/flux-conception.md.
flux:
  - sens: ingress
    port: 25
    protocole: tcp
    pair: [externe, client_smtp]
    chiffrement: starttls
    raison: "SMTP entrant : courrier externe (MX) et notifications internes (client_smtp)."
  - sens: ingress
    port: 587
    protocole: tcp
    pair: flotte
    chiffrement: starttls
    raison: "Soumission authentifiée (submission) pour les agents internes qui envoient du courrier."
  - sens: egress
    port: 24
    protocole: tcp
    pair: serveur_dovecot
    chiffrement: tls-requis
    raison: "Remise finale par LMTP au mailstore (Dovecot), en TLS vérifié."
  - sens: egress
    port: 12345
    protocole: tcp
    pair: serveur_dovecot
    chiffrement: tls
    raison: "Validation SASL des identifiants de soumission contre Dovecot."
  - sens: egress
    port: 11332
    protocole: tcp
    pair: localhost
    chiffrement: clair
    raison: "Filtre milter rspamd co-localisé (antispam + signature DKIM)."
  - sens: egress
    port: 636
    protocole: tcp
    pair: serveur_openldap
    chiffrement: tls-requis
    raison: "Tables virtuelles (domaines/alias/boîtes) résolues sur l'annuaire (LDAPS)."
  - sens: egress
    port: 25
    protocole: tcp
    pair: externe
    chiffrement: starttls
    raison: "Relais sortant vers les MX distants (STARTTLS opportuniste)."