Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests 1 Projects Releases Packages Wiki Activity
Set-OPS-Public/roles/serveur_rspamd
History
Daniel Allaire 6b6a56ab3f sondes filtrage et edge : elles verifient le service rendu ; l edge refuse les noms inconnus 
filtrage soumet GTUBE ; edge interroge chaque exposition en local. Sans serveur
par defaut, un nom inconnu recevait Keycloak : 000-defaut.conf (444, rejet TLS).
Garde test_sondes_syntaxe : chaque gabarit de sonde se rend en bash valide.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-09-28 19:40:26 -04:00
..
defaults sondes filtrage et edge : elles verifient le service rendu ; l edge refuse les noms inconnus 2026-09-28 19:40:26 -04:00
handlers serveur_rspamd (rspamd 3.x) : antispam + DKIM en milter Postfix — prouvé 2026-07-02 18:04:44 -04:00
meta sondes filtrage et edge : elles verifient le service rendu ; l edge refuse les noms inconnus 2026-09-28 19:40:26 -04:00
tasks supervision : le lot check_http, et les greffons qui manquaient a la flotte 2026-09-14 09:34:31 -04:00
templates sondes filtrage et edge : elles verifient le service rendu ; l edge refuse les noms inconnus 2026-09-28 19:40:26 -04:00
README.md docs : un README par rôle (12 manquants) + carte remise à l'état du code 2026-07-29 11:32:06 -04:00

README.md

serveur_rspamd

Antispam + signature DKIM : rspamd 3.x (Debian 13), branché en milter sur Postfix (nœud edge-mta), avec Redis local comme backend. Ne stocke aucune boîte. Cf. docs/courriel-conception.md.

Rôle

  • Installe rspamd et redis-server (backend local, non partagé).
  • Clé DKIM : génération idempotente — la clé n'est créée que si elle est absente, puis ses droits sont fixés. Un redéploiement ne casse jamais une signature en place.
  • Affiche l'enregistrement DNS DKIM à publier (<sélecteur>._domainkey) — la publication relève de la frontière publique (Étape B).
  • Configure par surcharges local.d/ uniquement (redis.conf, worker-proxy.inc, dkim_signing.conf) : les fichiers Debian d'origine ne sont jamais édités.

Variables

Variable Défaut Rôle
serveur_rspamd_redis_serveur 127.0.0.1:6379 Backend Redis local
serveur_rspamd_milter_port 11332 Worker proxy consommé par Postfix
serveur_rspamd_dkim_actif true Signature DKIM
serveur_rspamd_dkim_domaine {{ domaine_interne }} Domaine signé (public en prod)
serveur_rspamd_dkim_selecteur setops Sélecteur DKIM
serveur_rspamd_dkim_repertoire /var/lib/rspamd/dkim Clés

Flux (meta/flux.yml)

11332/tcp milter et 11334/tcp interface de contrôle — localhost uniquement. Le couplage à Postfix est une co-localisation, pas un flux réseau.

Notes / limites

  • Le Redis d'ici est local au nœud et distinct du groupe serveur_redis (cache applicatif) : ne pas les confondre ni les fusionner.
  • Le domaine signé par défaut est le domaine interne (bac à sable). En production, il doit être le domaine public, et l'enregistrement DKIM publié dans la zone publique — sinon la signature ne vaut rien pour les MX distants.
  • Côté Postfix, l'activation passe par le lien milter (meta/liens.yml de serveur_postfix), pas par une variable saisie à la main.

Prérequis

  • Postfix co-localisé sur le même nœud (le milter n'écoute qu'en local).