verifier / verifier (push) Has been cancelled

Details

documentation : la tournee des 74 documents, parce qu un balayage ne lit pas

La revision a commence par un balayage par motifs — chemins morts, cibles make
absentes, comptes derives. Il a trouve une trentaine d ecarts et rate presque
tout le reste : un motif ne voit que ce qui s exprime en motif.

make hote-planifier en est l exemple. La cible EXISTE, donc le controle passait
au vert. C est une cible depreciee qui refuse et sort en 2, recommandee par
AGENTS.md, et qui contredit la REGLE D OR du meme fichier trois ecrans plus
haut. Il fallait lire pour la voir.

74 documents lus un par un. 66 corriges, 8 exacts.

CE QUI ETAIT FRANCHEMENT FAUX

AGENTS.md, la source d autorite, annoncait la flotte pas encore executee contre
des VM reelles. Elle a ete rasee et remontee depuis zero trois fois.
ecosysteme-chezlepro.md, le document montre a un client, portait la meme
phrase : il se sous-vendait gravement.

courriel-conception.md s ouvrait sur aucun role n est encore ecrit, au-dessus de
son propre paragraphe 1 qui les nomme. autorisation.md se terminait sur rien n
est construit alors qu il rapporte des mesures datees du role en fonctionnement.
hebergeur-exploitation.md disait rien n est fait d un depot qui existe.
filiation-emancipation.md se contredisait a deux ecrans de distance.

DES MODELES DECRITS D APRES UN MONDE ANTERIEUR

Le resolveur : cinq documents decrivaient un Unbound par VM en opt-in, trois le
donnaient en exemple d integration FACULTATIVE — il est universel depuis le
2026-08-24. L adressage de nomenclature-vm.md : reseau unique, VLAN 11-15, VMID
a cinq chiffres. Le nommage SDN de sdn-evpn.md contre le code : c est le wiki
qui avait raison.

CE QUI CASSE AU PREMIER ESSAI

Le nom du gabarit dore etait faux a quatre endroits, dont la procedure qui le
FABRIQUE et le critere R2 de l epreuve d operateur independant.
preparer-un-site-hebergeur.md avertissait qu une VM faite a la main serait
detruite : raser derive du plan, il ne la detruira jamais — le risque est l
inverse. Un mot de passe d essai en clair dans un depot public.

DEUX PREUVES ETENDUES, ET UNE QUI SE TROMPAIT ELLE-MEME

P57 couvre les groupes : elle a signale aussitot 29 groupes annonces au-dessus d
un tableau qui en cite 40. P29 confronte le tableau de authentification.md aux
declarations reelles : 12 annonces, 21 reels.

Et P57 imposait un chiffre faux — 56 preuves alors que le depot en porte 57, la
conditionnelle vivant hors de tout comptage. Un garde-fou qui fait respecter une
erreur ajoute l assurance a l erreur.

CE QUI RESTE, ET QU AUCUNE PREUVE NE TIENT

Deux comptes trouves a la main. Et une lacune reelle : rien ne garde les
meta/acces.yml — ni qu un service web-sso en porte un, ni que le groupe qu il
nomme existe. P29 tient les positions d authentification, personne ne tient les
habilitations.

make prouver : CONFORME, 56 OK, 0 echec, 1 saute. 0 lien mort.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q

2026-09-06 16:18:23 -04:00

3.4 KiB

Raw Blame History

Courriel (SMTP / IMAP)

Unité d'apprentissage. Moule : ① concept → ② Set-OPS → ③ transférable → ④ à toi de jouer.

① Le concept (générique)

Le courriel, c'est trois rôles distincts (souvent confondus) :

MTA (Mail Transfer Agent) : transporte le courrier entre serveurs — protocole SMTP (:25).
MDA (Mail Delivery Agent) : dépose le courrier dans la boîte et la sert — IMAP (:993).
MUA (Mail User Agent) : ton client (Thunderbird, l'appli).

Deux SMTP différents :

:25 = relais serveur↔serveur (pas d'authentification par mot de passe).
:587 (soumission) = un client authentifié envoie son courrier (SMTP AUTH + STARTTLS).

LMTP = remise locale du MTA vers le magasin. Déliverabilité (vers l'externe) = un tout autre problème : DKIM (signer), SPF, DMARC, réputation IP.

② Comment Set-OPS le fait

Pièce	Rôle
Postfix (`serveur_postfix`, edge-mta)	le MTA : reçoit `:25`, valide le destinataire contre LDAP, remet en LMTP.
Dovecot (`serveur_dovecot`, infra-mail)	le MDA/magasin : boîtes `/var/vmail`, IMAP `:993`.
rspamd (`serveur_rspamd`)	antispam + signature DKIM.

La boucle souveraine, prouvée de bout en bout :

Reçevoir : … ──> Postfix :25 ──> validation LDAP ──> LMTP ──> Dovecot ──> IMAP
Envoyer  : client ──> :587 (AUTH+STARTTLS) ──> SASL Dovecot/LDAP ──> Postfix ──> remise

Une identité (testmail, le mot de passe LDAP) sert IMAP et la soumission. Le tout interne, chiffré, sans jamais toucher Internet (l'envoi vers l'externe = Étape B, déliverabilité).

③ Pourquoi c'est transférable

Set-OPS	Équivalents ailleurs
Postfix / Dovecot	Exim · Sendmail · Exchange · tout serveur SMTP/IMAP
SMTP/IMAP/LMTP, `:587`	protocoles standards — identiques partout
DKIM/SPF/DMARC	universels pour la déliverabilité

Tu as appris MTA/MDA/MUA, SMTP vs soumission, IMAP, la déliverabilité — pas « Postfix ».

④ À toi de jouer

Envoie via la soumission :587 (client authentifié) :
```
swaks --server edge-mta-01.chezlepro.internal:587 --tls \
  --auth LOGIN --auth-user testmail@chezlepro.internal --auth-password "$MDP_ESSAI" \
  --from testmail@chezlepro.internal --to testmail@chezlepro.internal --header 'Subject: essai'
```
(MDP_ESSAI se saisit à la main — read -rs MDP_ESSAI. Un mot de passe écrit ici partirait dans l'historique du shell et dans le dépôt public : ce document en portait un en clair jusqu'au 2026-09-06.) 235 Authentication successful puis 250 queued = ① en action.
Lis la boîte (le MDA) : doveadm search -u testmail mailbox INBOX all | wc -l sur infra-mail-01.
Casse & répare. Coupe l'annuaire (arrête OpenLDAP), renvoie un courriel : Postfix rejette le destinataire (il ne peut plus valider en LDAP). Rallume OpenLDAP : ça repart. Tu sens la dépendance requise MTA → annuaire.

Pour aller plus loin (dépôt)

Rôles : roles/serveur_postfix, roles/serveur_dovecot, roles/serveur_rspamd.
Conception + Étape B (déliverabilité publique) : docs/courriel-conception.md.
Notifications système des nœuds : client_smtp (relais vers le MTA).

3.4 KiB Raw Blame History