Quatre serveurs mail, une pile modernisée : notre chantier estival est terminé
La mise à niveau de Maximusconfessor est terminée. Elle clôt une importante période de travail estival sur les quatre grands serveurs mail d’all2all : Moses, Hermes, Maximusconfessor et Vonmuenchhausen fonctionnent maintenant tous sous Debian 13 stable, avec une pile mail modernisée et harmonisée.
Ce chantier ne consistait pas simplement à changer un numéro de version. Nous avons repris chaque serveur en profondeur : système d’exploitation, noyau, stockage, sécurité, filtrage, webmail, sauvegardes, supervision et réglages de capacité. Le but est simple : offrir un routage du courrier plus fiable, une meilleure maintenabilité et une base saine pour les années à venir.
Ce que cela change pour les utilisateurs
Les quatre serveurs partagent désormais les mêmes principes de configuration et les mêmes composants maintenus. Les comportements SMTP, IMAP, POP et webmail sont plus cohérents d’un serveur à l’autre, les protections antivirus et antispam disposent à nouveau de versions prises en charge, et les mises à jour de sécurité peuvent être suivies de manière régulière.
Les boîtes mail, alias et domaines existants ont été conservés pendant ces opérations. Après chaque étape, nous avons contrôlé les files d’attente, les connexions sécurisées, l’envoi et la réception, l’accès aux boîtes et Roundcube. La modernisation reste discrète pour les utilisateurs, mais elle réduit sensiblement la dette technique qui se cachait derrière le service quotidien.
Pour les personnes curieuses de technique
Vonmuenchhausen a fait l’objet de la transformation la plus visible : l’ancien serveur a été remplacé par une toute nouvelle machine, avec du stockage NVMe rapide et redondant. Sur les serveurs existants, nous avons intégré des SSD ou amélioré les chemins de stockage lorsque l’architecture le permettait, tout en conservant les contrôleurs RAID matériels là où ils restent pertinents. La santé des disques, des SSD, des ensembles RAID et des systèmes de fichiers est maintenant suivie de façon cohérente.
Les quatre systèmes ont reçu les noyaux et paquets Debian 13 actuels. Les démarrages, les contrôleurs de stockage et les services ont été vérifiés après les mises à niveau successives. Les mises à jour automatiques de sécurité Debian sont actives, sans redémarrage automatique : un reboot d’un serveur mail reste une opération planifiée et contrôlée.
La pile commune réunit notamment Postfix, Courier, OpenDKIM, Amavis, ClamAV, SpamAssassin et Roundcube avec PHP-FPM. Nous avons harmonisé TLS, l’authentification, le filtrage des messages entrants et sortants, les quarantaines récupérables, Fail2ban avec nftables, les limites d’envoi et les alertes. Les réglages de processus restent adaptés aux ressources de chaque machine : Maximusconfessor, par exemple, héberge près de mille comptes mail et dispose maintenant de limites Courier dimensionnées pour cette charge.
Les sauvegardes SQL sont placées dans l’arborescence effectivement transférée vers les serveurs de sauvegarde. La supervision SMART/RAID, les alertes système et les relais administratifs ont eux aussi été vérifiés sur les quatre nœuds.
De Courier à Dovecot : une étude séparée
Nous étudions également une évolution distincte du service d’accès aux boîtes : le remplacement éventuel de Courier par Dovecot pour IMAP et POP. Il s’agit du serveur qui présente les boîtes aux clients, pas nécessairement d’un changement de format de stockage : Dovecot peut continuer à utiliser les Maildirs existants.
Courier reste le service de production aujourd’hui et aucune migration n’est décidée. Avant tout pilote, il faudra valider l’authentification, les UID/GID et permissions, les quotas, abonnements et dossiers spéciaux, TLS, les accès concurrents, les index, la compatibilité avec Virtualmin et Roundcube ainsi qu’un retour arrière sans perte de messages.
Un pilote Rspamd, sans précipiter la production
Nous avons enfin lancé sur Vonmuenchhausen un pilote Rspamd hors du flux de production. Il sert à comparer le filtrage moderne de Rspamd avec la chaîne actuelle Amavis/SpamAssassin, sur un corpus contrôlé et sans modifier la distribution des messages.
Rspamd n’a donc pas encore remplacé Amavis. Si les résultats sont concluants, une transition pourra être étudiée progressivement et avec un retour arrière simple. Le rôle antivirus de ClamAV et la gestion de la quarantaine seront évalués séparément : nous ne changerons pas plusieurs mécanismes critiques en une seule fois.
Cette grande harmonisation est terminée, mais l’infrastructure mail ne sera jamais « figée ». Nous continuons à surveiller les files, la réputation d’envoi, les performances et les mises à jour en amont — désormais à partir d’une base commune, actuelle et beaucoup plus facile à maintenir.
Illustration : Le Baron de Münchhausen sur un boulet de canon, gravure d’August von Wille, avant 1872, domaine public, via Wikimedia Commons. Image recadrée pour les aperçus.
