History

Daniel Allaire f815b069f7 supervision : le lot check_http, et les greffons qui manquaient a la flotte La doctrine dit qu un greffon Nagios EST une sonde valide et compte sur les 54 de monitoring-plugins. Mesure : aucun n etait installe. Le document decrivait une possibilite qui n existait pas, et chaque role ayant besoin d un controle HTTP n avait d autre choix que d ecrire du shell. Le PORTEUR les installe desormais — c est son affaire de pouvoir executer des sondes, et les poser role par role en ferait autant de copies de la decision. Trois sondes, trois enveloppes qui delegue a check_http et rendent son code tel quel : collabora edition /hosting/discovery — l adresse que Nextcloud interroge lui-meme ; sans elle le bouton ouvrir meurt et Nextcloud reste vert rspamd filtrage un filtre muet ne bloque pas le courrier, il le laisse passer oauth2_proxy passerelle ce qui tombe avec elle n est pas elle : les services derriere restent debout et deviennent injoignables Chacune exige une CHAINE que seul le bon service produit — un 200 peut venir d une page d erreur. Cette chaine est aussi la mise en defaut. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q		2026-09-14 09:34:31 -04:00
..
defaults	supervision : le lot check_http, et les greffons qui manquaient a la flotte	2026-09-14 09:34:31 -04:00
handlers	serveur_rspamd (rspamd 3.x) : antispam + DKIM en milter Postfix — prouvé	2026-07-02 18:04:44 -04:00
meta	supervision : le lot check_http, et les greffons qui manquaient a la flotte	2026-09-14 09:34:31 -04:00
tasks	supervision : le lot check_http, et les greffons qui manquaient a la flotte	2026-09-14 09:34:31 -04:00
templates	supervision : le lot check_http, et les greffons qui manquaient a la flotte	2026-09-14 09:34:31 -04:00
README.md	docs : un README par rôle (12 manquants) + carte remise à l'état du code	2026-07-29 11:32:06 -04:00

README.md

serveur_rspamd

Antispam + signature DKIM : rspamd 3.x (Debian 13), branché en milter sur Postfix (nœud edge-mta), avec Redis local comme backend. Ne stocke aucune boîte. Cf. docs/courriel-conception.md.

Rôle

Installe rspamd et redis-server (backend local, non partagé).
Clé DKIM : génération idempotente — la clé n'est créée que si elle est absente, puis ses droits sont fixés. Un redéploiement ne casse jamais une signature en place.
Affiche l'enregistrement DNS DKIM à publier (<sélecteur>._domainkey) — la publication relève de la frontière publique (Étape B).
Configure par surcharges local.d/ uniquement (redis.conf, worker-proxy.inc, dkim_signing.conf) : les fichiers Debian d'origine ne sont jamais édités.

Variables

Variable	Défaut	Rôle
`serveur_rspamd_redis_serveur`	`127.0.0.1:6379`	Backend Redis local
`serveur_rspamd_milter_port`	`11332`	Worker proxy consommé par Postfix
`serveur_rspamd_dkim_actif`	`true`	Signature DKIM
`serveur_rspamd_dkim_domaine`	`{{ domaine_interne }}`	Domaine signé (public en prod)
`serveur_rspamd_dkim_selecteur`	`setops`	Sélecteur DKIM
`serveur_rspamd_dkim_repertoire`	`/var/lib/rspamd/dkim`	Clés

Flux (`meta/flux.yml`)

11332/tcp milter et 11334/tcp interface de contrôle — localhost uniquement. Le couplage à Postfix est une co-localisation, pas un flux réseau.

Notes / limites

Le Redis d'ici est local au nœud et distinct du groupe serveur_redis (cache applicatif) : ne pas les confondre ni les fusionner.
Le domaine signé par défaut est le domaine interne (bac à sable). En production, il doit être le domaine public, et l'enregistrement DKIM publié dans la zone publique — sinon la signature ne vaut rien pour les MX distants.
Côté Postfix, l'activation passe par le lien milter (meta/liens.yml de serveur_postfix), pas par une variable saisie à la main.

Prérequis

Postfix co-localisé sur le même nœud (le milter n'écoute qu'en local).