# Géré par Set-OPS (rôle serveur_dovecot, authentification locale). Ne pas éditer à la main.
# Syntaxe Dovecot 2.4.
{#
   AUTHENTIFICATION SEULE, A COTE DE POSTFIX (2026-10-12).

   Postfix confiait la verification des mots de passe de soumission a la machine des
   boites, par `smtpd_sasl_path = inet:<mailstore>:12345`. Le client SASL Dovecot de
   Postfix ne sait pas chiffrer : chaque mot de passe traversait le reseau en clair, et le
   registre le disait `tls`. Directive du 2026-10-12 : tout transit chiffre.

   On ne chiffre pas ce flux, on le supprime. Ce Dovecot-ci ne sert ni IMAP ni LMTP (aucun
   paquet de protocole n'est installe) et n'ecoute AUCUN port : Postfix lui parle par un
   socket local, et il verifie le mot de passe sur l'annuaire en LDAPS — le chemin que
   Postfix emprunte deja sur cette machine. Le mot de passe ne voyage plus que dans TLS.

   Eprouve sur banc Debian 13 avant d'ecrire le role : processus `dovecot`, `auth`,
   `anvil`, `log`, `config` seulement ; 235 avec le bon mot de passe, 535 avec un faux,
   AUTH non offert hors TLS.
#}
dovecot_config_version = 2.4.0

# Garder l'adresse complète (user@domaine) comme identité — domaines virtuels.
auth_username_format = %{user}
auth_mechanisms = plain login
ldap_uris = {{ serveur_dovecot_ldap_uris }}
ldap_base = {{ serveur_dovecot_ldap_base }}
ldap_auth_dn = {{ serveur_dovecot_ldap_bind_dn }}
ldap_auth_dn_password = {{ serveur_dovecot_ldap_bind_password }}

{# Le meme passdb que la machine des boites : une identite, un mot de passe, une regle.
   Pas de userdb : une verification SASL n'en consulte aucun. #}
passdb ldap {
  ldap_filter = {{ serveur_dovecot_ldap_filter }}
  ldap_bind = yes
}

service auth {
  unix_listener {{ serveur_dovecot_postfix_socket_dir }}/auth {
    user = postfix
    group = postfix
    mode = 0660
  }
}