Daniel Allaire
5bc3bceac1
Some checks failed
verifier / verifier (push) Has been cancelled
La revision a commence par un balayage par motifs — chemins morts, cibles make absentes, comptes derives. Il a trouve une trentaine d ecarts et rate presque tout le reste : un motif ne voit que ce qui s exprime en motif. make hote-planifier en est l exemple. La cible EXISTE, donc le controle passait au vert. C est une cible depreciee qui refuse et sort en 2, recommandee par AGENTS.md, et qui contredit la REGLE D OR du meme fichier trois ecrans plus haut. Il fallait lire pour la voir. 74 documents lus un par un. 66 corriges, 8 exacts. CE QUI ETAIT FRANCHEMENT FAUX AGENTS.md, la source d autorite, annoncait la flotte pas encore executee contre des VM reelles. Elle a ete rasee et remontee depuis zero trois fois. ecosysteme-chezlepro.md, le document montre a un client, portait la meme phrase : il se sous-vendait gravement. courriel-conception.md s ouvrait sur aucun role n est encore ecrit, au-dessus de son propre paragraphe 1 qui les nomme. autorisation.md se terminait sur rien n est construit alors qu il rapporte des mesures datees du role en fonctionnement. hebergeur-exploitation.md disait rien n est fait d un depot qui existe. filiation-emancipation.md se contredisait a deux ecrans de distance. DES MODELES DECRITS D APRES UN MONDE ANTERIEUR Le resolveur : cinq documents decrivaient un Unbound par VM en opt-in, trois le donnaient en exemple d integration FACULTATIVE — il est universel depuis le 2026-08-24. L adressage de nomenclature-vm.md : reseau unique, VLAN 11-15, VMID a cinq chiffres. Le nommage SDN de sdn-evpn.md contre le code : c est le wiki qui avait raison. CE QUI CASSE AU PREMIER ESSAI Le nom du gabarit dore etait faux a quatre endroits, dont la procedure qui le FABRIQUE et le critere R2 de l epreuve d operateur independant. preparer-un-site-hebergeur.md avertissait qu une VM faite a la main serait detruite : raser derive du plan, il ne la detruira jamais — le risque est l inverse. Un mot de passe d essai en clair dans un depot public. DEUX PREUVES ETENDUES, ET UNE QUI SE TROMPAIT ELLE-MEME P57 couvre les groupes : elle a signale aussitot 29 groupes annonces au-dessus d un tableau qui en cite 40. P29 confronte le tableau de authentification.md aux declarations reelles : 12 annonces, 21 reels. Et P57 imposait un chiffre faux — 56 preuves alors que le depot en porte 57, la conditionnelle vivant hors de tout comptage. Un garde-fou qui fait respecter une erreur ajoute l assurance a l erreur. CE QUI RESTE, ET QU AUCUNE PREUVE NE TIENT Deux comptes trouves a la main. Et une lacune reelle : rien ne garde les meta/acces.yml — ni qu un service web-sso en porte un, ni que le groupe qu il nomme existe. P29 tient les positions d authentification, personne ne tient les habilitations. make prouver : CONFORME, 56 OK, 0 echec, 1 saute. 0 lien mort. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
75 lines
3.4 KiB
Markdown
75 lines
3.4 KiB
Markdown
# Courriel (SMTP / IMAP)
|
|
|
|
> **Unité d'apprentissage.** Moule : ① concept → ② Set-OPS → ③ transférable → ④ à toi de jouer.
|
|
|
|
---
|
|
|
|
## ① Le concept *(générique)*
|
|
|
|
Le courriel, c'est **trois rôles** distincts (souvent confondus) :
|
|
- **MTA** (*Mail Transfer Agent*) : transporte le courrier entre serveurs — protocole **SMTP** (`:25`).
|
|
- **MDA** (*Mail Delivery Agent*) : dépose le courrier dans la **boîte** et la sert — **IMAP** (`:993`).
|
|
- **MUA** (*Mail User Agent*) : ton client (Thunderbird, l'appli).
|
|
|
|
Deux SMTP différents :
|
|
- **`:25`** = relais **serveur↔serveur** (pas d'authentification par mot de passe).
|
|
- **`:587` (soumission)** = un **client authentifié** *envoie* son courrier (**SMTP AUTH + STARTTLS**).
|
|
|
|
**LMTP** = remise **locale** du MTA vers le magasin. **Déliverabilité** (vers l'externe) = un tout
|
|
autre problème : **DKIM** (signer), **SPF**, **DMARC**, réputation IP.
|
|
|
|
---
|
|
|
|
## ② Comment Set-OPS le fait
|
|
|
|
| Pièce | Rôle |
|
|
|---|---|
|
|
| **Postfix** (`serveur_postfix`, edge-mta) | le **MTA** : reçoit `:25`, valide le destinataire **contre LDAP**, remet en **LMTP**. |
|
|
| **Dovecot** (`serveur_dovecot`, infra-mail) | le **MDA/magasin** : boîtes `/var/vmail`, **IMAP** `:993`. |
|
|
| **rspamd** (`serveur_rspamd`) | antispam + **signature DKIM**. |
|
|
|
|
La **boucle souveraine**, prouvée de bout en bout :
|
|
```
|
|
Reçevoir : … ──> Postfix :25 ──> validation LDAP ──> LMTP ──> Dovecot ──> IMAP
|
|
Envoyer : client ──> :587 (AUTH+STARTTLS) ──> SASL Dovecot/LDAP ──> Postfix ──> remise
|
|
```
|
|
Une **identité** (`testmail`, le mot de passe LDAP) sert IMAP *et* la soumission. Le tout **interne,
|
|
chiffré, sans jamais toucher Internet** (l'envoi vers l'externe = Étape B, déliverabilité).
|
|
|
|
---
|
|
|
|
## ③ Pourquoi c'est transférable
|
|
|
|
| Set-OPS | Équivalents ailleurs |
|
|
|---|---|
|
|
| Postfix / Dovecot | Exim · Sendmail · Exchange · tout serveur SMTP/IMAP |
|
|
| SMTP/IMAP/LMTP, `:587` | **protocoles standards** — identiques partout |
|
|
| DKIM/SPF/DMARC | universels pour la déliverabilité |
|
|
|
|
Tu as appris **MTA/MDA/MUA, SMTP vs soumission, IMAP, la déliverabilité** — pas « Postfix ».
|
|
|
|
---
|
|
|
|
## ④ À toi de jouer
|
|
|
|
1. **Envoie via la soumission `:587`** (client authentifié) :
|
|
```bash
|
|
swaks --server edge-mta-01.chezlepro.internal:587 --tls \
|
|
--auth LOGIN --auth-user testmail@chezlepro.internal --auth-password "$MDP_ESSAI" \
|
|
--from testmail@chezlepro.internal --to testmail@chezlepro.internal --header 'Subject: essai'
|
|
```
|
|
*(`MDP_ESSAI` se saisit à la main — `read -rs MDP_ESSAI`. Un mot de passe écrit ici
|
|
partirait dans l'historique du shell et dans le dépôt public : ce document en portait un
|
|
en clair jusqu'au 2026-09-06.)*
|
|
`235 Authentication successful` puis `250 queued` = ① en action.
|
|
2. **Lis la boîte** (le MDA) : `doveadm search -u testmail mailbox INBOX all | wc -l` sur infra-mail-01.
|
|
3. **Casse & répare.** Coupe l'annuaire (arrête OpenLDAP), renvoie un courriel : Postfix **rejette le
|
|
destinataire** (il ne peut plus valider en LDAP). Rallume OpenLDAP : ça repart. Tu *sens* la
|
|
dépendance **requise** MTA → annuaire.
|
|
|
|
---
|
|
|
|
## Pour aller plus loin *(dépôt)*
|
|
- Rôles : `roles/serveur_postfix`, `roles/serveur_dovecot`, `roles/serveur_rspamd`.
|
|
- Conception + Étape B (déliverabilité publique) : `docs/courriel-conception.md`.
|
|
- Notifications système des nœuds : `client_smtp` (relais vers le MTA).
|