Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests 1 Projects Releases Packages Wiki Activity
Set-OPS-Public/roles/serveur_rspamd
History
Daniel Allaire 8a9da0c31a restauration : la reconstruction remet l'etat de l'incarnation precedente 
Chaque role proprietaire (AC, bases, annuaire, Nextcloud, rspamd/DKIM,
courriel, forge, web) remet son etat au moment ou il le creerait neuf,
depuis le dernier instantane anterieur a la naissance de la machine.
La sauvegarde refuse de deposer tant qu'un etat d'avant attend.
Outil de noeud setops-restaurer ; cibles sauvegarder-maintenant,
restauration-etat, restauration-renoncer ; test_restauration.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-09-30 02:39:22 -04:00
..
defaults sondes filtrage et edge : elles verifient le service rendu ; l edge refuse les noms inconnus 2026-09-28 19:40:26 -04:00
handlers serveur_rspamd (rspamd 3.x) : antispam + DKIM en milter Postfix — prouvé 2026-07-02 18:04:44 -04:00
meta sondes filtrage et edge : elles verifient le service rendu ; l edge refuse les noms inconnus 2026-09-28 19:40:26 -04:00
tasks restauration : la reconstruction remet l'etat de l'incarnation precedente 2026-09-30 02:39:22 -04:00
templates sondes filtrage et edge : elles verifient le service rendu ; l edge refuse les noms inconnus 2026-09-28 19:40:26 -04:00
README.md docs : un README par rôle (12 manquants) + carte remise à l'état du code 2026-07-29 11:32:06 -04:00

README.md

serveur_rspamd

Antispam + signature DKIM : rspamd 3.x (Debian 13), branché en milter sur Postfix (nœud edge-mta), avec Redis local comme backend. Ne stocke aucune boîte. Cf. docs/courriel-conception.md.

Rôle

  • Installe rspamd et redis-server (backend local, non partagé).
  • Clé DKIM : génération idempotente — la clé n'est créée que si elle est absente, puis ses droits sont fixés. Un redéploiement ne casse jamais une signature en place.
  • Affiche l'enregistrement DNS DKIM à publier (<sélecteur>._domainkey) — la publication relève de la frontière publique (Étape B).
  • Configure par surcharges local.d/ uniquement (redis.conf, worker-proxy.inc, dkim_signing.conf) : les fichiers Debian d'origine ne sont jamais édités.

Variables

Variable Défaut Rôle
serveur_rspamd_redis_serveur 127.0.0.1:6379 Backend Redis local
serveur_rspamd_milter_port 11332 Worker proxy consommé par Postfix
serveur_rspamd_dkim_actif true Signature DKIM
serveur_rspamd_dkim_domaine {{ domaine_interne }} Domaine signé (public en prod)
serveur_rspamd_dkim_selecteur setops Sélecteur DKIM
serveur_rspamd_dkim_repertoire /var/lib/rspamd/dkim Clés

Flux (meta/flux.yml)

11332/tcp milter et 11334/tcp interface de contrôle — localhost uniquement. Le couplage à Postfix est une co-localisation, pas un flux réseau.

Notes / limites

  • Le Redis d'ici est local au nœud et distinct du groupe serveur_redis (cache applicatif) : ne pas les confondre ni les fusionner.
  • Le domaine signé par défaut est le domaine interne (bac à sable). En production, il doit être le domaine public, et l'enregistrement DKIM publié dans la zone publique — sinon la signature ne vaut rien pour les MX distants.
  • Côté Postfix, l'activation passe par le lien milter (meta/liens.yml de serveur_postfix), pas par une variable saisie à la main.

Prérequis

  • Postfix co-localisé sur le même nœud (le milter n'écoute qu'en local).