History

Daniel Allaire ee0e33d452 flux : plus aucune sortie vers Internet sans un role qui le dise La sortie 80/443 que le socle donnait a toute machine ne servait plus a apt (tout passe par le cache du site) mais a de la telemetrie et a des sorties non declarees. Elle devient conditionnelle (seulement_si artefacts_amorcage vide) ; la telemetrie de Grafana, Loki, Alloy et la verification de version de Collabora sont coupees a la source ; rspamd et la sonde du genome declarent leur sortie. Le devis du site evalue enfin seulement_si, ce qui retire aussi le 465/587 vers un Postfix du site qui n'ecoute que sur 25. Garde : test_conditions_site.py. Journal (125). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>		2026-10-10 23:11:13 -04:00
..
defaults	sondes filtrage et edge : elles verifient le service rendu ; l edge refuse les noms inconnus	2026-09-28 19:40:26 -04:00
handlers	serveur_rspamd (rspamd 3.x) : antispam + DKIM en milter Postfix — prouvé	2026-07-02 18:04:44 -04:00
meta	flux : plus aucune sortie vers Internet sans un role qui le dise	2026-10-10 23:11:13 -04:00
tasks	restauration : la reconstruction remet l'etat de l'incarnation precedente	2026-09-30 02:39:22 -04:00
templates	sondes filtrage et edge : elles verifient le service rendu ; l edge refuse les noms inconnus	2026-09-28 19:40:26 -04:00
README.md	docs : un README par rôle (12 manquants) + carte remise à l'état du code	2026-07-29 11:32:06 -04:00

README.md

serveur_rspamd

Antispam + signature DKIM : rspamd 3.x (Debian 13), branché en milter sur Postfix (nœud edge-mta), avec Redis local comme backend. Ne stocke aucune boîte. Cf. docs/courriel-conception.md.

Rôle

Installe rspamd et redis-server (backend local, non partagé).
Clé DKIM : génération idempotente — la clé n'est créée que si elle est absente, puis ses droits sont fixés. Un redéploiement ne casse jamais une signature en place.
Affiche l'enregistrement DNS DKIM à publier (<sélecteur>._domainkey) — la publication relève de la frontière publique (Étape B).
Configure par surcharges local.d/ uniquement (redis.conf, worker-proxy.inc, dkim_signing.conf) : les fichiers Debian d'origine ne sont jamais édités.

Variables

Variable	Défaut	Rôle
`serveur_rspamd_redis_serveur`	`127.0.0.1:6379`	Backend Redis local
`serveur_rspamd_milter_port`	`11332`	Worker proxy consommé par Postfix
`serveur_rspamd_dkim_actif`	`true`	Signature DKIM
`serveur_rspamd_dkim_domaine`	`{{ domaine_interne }}`	Domaine signé (public en prod)
`serveur_rspamd_dkim_selecteur`	`setops`	Sélecteur DKIM
`serveur_rspamd_dkim_repertoire`	`/var/lib/rspamd/dkim`	Clés

Flux (`meta/flux.yml`)

11332/tcp milter et 11334/tcp interface de contrôle — localhost uniquement. Le couplage à Postfix est une co-localisation, pas un flux réseau.

Notes / limites

Le Redis d'ici est local au nœud et distinct du groupe serveur_redis (cache applicatif) : ne pas les confondre ni les fusionner.
Le domaine signé par défaut est le domaine interne (bac à sable). En production, il doit être le domaine public, et l'enregistrement DKIM publié dans la zone publique — sinon la signature ne vaut rien pour les MX distants.
Côté Postfix, l'activation passe par le lien milter (meta/liens.yml de serveur_postfix), pas par une variable saisie à la main.

Prérequis

Postfix co-localisé sur le même nœud (le milter n'écoute qu'en local).