Daniel Allaire
aab1bcc83a
README reduit au role du projet et au demarrage rapide. docs/architecture.md (schemas Mermaid), docs/setup.md, docs/usage.md (154 cibles en 13 familles), docs/README.md (index). Documents ranges en conception/, exploitation/, hebergement/, projet/ ; 598 chemins suivis. QUICKSTART.md, SOLUTION.md, architecture-set-ops.md et la carte fondus puis retires. Preuves : P48 lit l'index et conception/mecanismes.md ; les gardes parcourent docs/ sous- dossiers compris (_documents) ; usage.md suit le Makefile dans les deux sens. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
40 lines
2.1 KiB
Markdown
40 lines
2.1 KiB
Markdown
# serveur_rspamd
|
|
|
|
**Antispam + signature DKIM** : rspamd 3.x (Debian 13), branché en **milter** sur Postfix
|
|
(nœud *edge-mta*), avec Redis local comme backend. **Ne stocke aucune boîte.**
|
|
Cf. `docs/conception/courriel-conception.md`.
|
|
|
|
## Rôle
|
|
- Installe `rspamd` et `redis-server` (backend local, non partagé).
|
|
- **Clé DKIM** : génération **idempotente** — la clé n'est créée que si elle est absente,
|
|
puis ses droits sont fixés. Un redéploiement ne casse jamais une signature en place.
|
|
- Affiche l'**enregistrement DNS DKIM à publier** (`<sélecteur>._domainkey`) — la publication
|
|
relève de la frontière publique (Étape B).
|
|
- Configure par **surcharges** `local.d/` uniquement (`redis.conf`, `worker-proxy.inc`,
|
|
`dkim_signing.conf`) : les fichiers Debian d'origine ne sont jamais édités.
|
|
|
|
## Variables
|
|
| Variable | Défaut | Rôle |
|
|
| --- | --- | --- |
|
|
| `serveur_rspamd_redis_serveur` | `127.0.0.1:6379` | Backend Redis local |
|
|
| `serveur_rspamd_milter_port` | `11332` | Worker proxy consommé par Postfix |
|
|
| `serveur_rspamd_dkim_actif` | `true` | Signature DKIM |
|
|
| `serveur_rspamd_dkim_domaine` | `{{ domaine_interne }}` | Domaine signé (**public** en prod) |
|
|
| `serveur_rspamd_dkim_selecteur` | `setops` | Sélecteur DKIM |
|
|
| `serveur_rspamd_dkim_repertoire` | `/var/lib/rspamd/dkim` | Clés |
|
|
|
|
## Flux (`meta/flux.yml`)
|
|
`11332/tcp` milter et `11334/tcp` interface de contrôle — **`localhost` uniquement**.
|
|
Le couplage à Postfix est une co-localisation, pas un flux réseau.
|
|
|
|
## Notes / limites
|
|
- Le Redis d'ici est **local au nœud** et distinct du groupe `serveur_redis` (cache
|
|
applicatif) : ne pas les confondre ni les fusionner.
|
|
- Le domaine signé par défaut est le domaine **interne** (bac à sable). En production, il
|
|
doit être le domaine **public**, et l'enregistrement DKIM publié dans la zone publique —
|
|
sinon la signature ne vaut rien pour les MX distants.
|
|
- Côté Postfix, l'activation passe par le lien `milter` (`meta/liens.yml` de
|
|
`serveur_postfix`), pas par une variable saisie à la main.
|
|
|
|
## Prérequis
|
|
- Postfix co-localisé sur le même nœud (le milter n'écoute qu'en local).
|