Filtrer avant votre serveur de courrier
La passerelle reçoit le courrier d'Internet en premier, le filtre, puis transmet le courrier sain à votre vrai serveur de courrier.
Courrier (passerelle)
Une passerelle de sécurité du courrier : ToutWAF installe et gère Postfix et Rspamd sur un serveur à vous, en SSH, pour filtrer le courrier entrant de vos domaines (anti-spam, anti-hameçonnage, pièces jointes, prévention des fuites). Sous licence et expérimentale : pas encore éprouvée en conditions réelles.
Où le trouver dans la console : Console : Infrastructure > Courrier (« Sécurité du courrier »).
À lire d'abord
Cette fonction est expérimentale, pas encore éprouvée en production. Nous préférons le dire avant de décrire quoi que ce soit.
- Pas encore essayée en conditions réelles : la configuration a été relue par les vrais outils Postfix et Rspamd, mais aucun message n'a traversé une passerelle en fonctionnement. Essayez-la avec quelques messages à vous et lisez le rapport avant d'y faire passer le courrier de votre domaine.
- Sous licence, sans offre gratuite. À l'expiration d'une licence, ce qui est installé continue de filtrer et tout reste lisible ; seuls l'enregistrement de la configuration, l'installation et l'application sont refusés.
- Elle demande un serveur Linux dédié, qui n'héberge pas de boîtes aux lettres, avec le port 25 libre et joignable depuis Internet.
À quoi ça sert
Sans taper de commande
ToutWAF installe et gère Postfix et Rspamd depuis la console, sur votre serveur, en SSH. Aucun accès SSH n'est mémorisé : les identifiants servent une fois.
Jamais un relais ouvert
Chaque configuration générée est vérifiée : les domaines relayés sont exactement vos domaines protégés. Une passerelle qui accepterait un domaine non protégé est affichée en rouge.
Rien ne part chez un tiers
Les modules de Rspamd qui contactent un tiers sont désactivés ; l'option « listes de réputation en ligne » les réactive en disant exactement ce qui sort. Le contenu d'un message n'est jamais dans le journal d'audit.
Ce que la passerelle fait
Tout ce qui est marqué « désactivé par défaut » le reste tant que vous ne l'activez pas : activez-le une famille à la fois et surveillez le journal des messages.
Anti-spam
Un score par message ; au-dessus du seuil de spam (6 par défaut) l'action s'applique : quarantaine (recommandé), marque dans le sujet ou refus ; au-dessus du seuil de rejet (15), refus.
Vérification de l'expéditeur
SPF, DKIM et DMARC, désactivés par défaut : mode observation (les en-têtes sont écrits, rien ne pèse sur le score) ou application.
Prévention des fuites
Détecte cartes de paiement, IBAN, numéros de sécurité sociale français et américains et vos mots-clés, avec une action par détecteur. Désactivée par défaut, sur le courrier entrant seulement.
Pièces jointes
Contrôle des types de fichiers par leur nom, y compris dans les archives : programmes, documents avec macros, doubles extensions, archives protégées par mot de passe. Désactivé par défaut.
Antivirus ClamAV
Si vous l'activez, chaque pièce jointe est confiée à ClamAV (ou à un moteur parlant son protocole) tournant sur la passerelle. ToutWAF n'installe pas ClamAV. Quand l'antivirus ne répond pas, c'est vous qui choisissez : réessayer plus tard (par défaut), garder en quarantaine, ou laisser passer.
Quarantaine, Docteur, rapports
Une quarantaine où libérer ou supprimer, un diagnostic du courrier, des rapports et, en option (désactivé par défaut), le courrier sortant avec signature DKIM et limites d'envoi.
Ce qui a été vérifié
Avec les vrais outils Postfix 3.8.6 et Rspamd 3.8.1 de Ubuntu, hors d'un serveur en service.
- Chaque configuration générée est relue sans avertissement par Postfix et Rspamd.
- Domaines protégés relayés et autres refusés ; greylisting, détections, politique de pièces jointes et signature DKIM vérifiables.
- L'antivirus a été éprouvé contre un faux démon qui parle le protocole de ClamAV, pas contre de vraies signatures.
Ce qui n'est pas fait
Dit clairement.
- L'archivage du courrier, un résumé par utilisateur, un portail de libération pour les utilisateurs, les connecteurs Microsoft 365 et Google, et le filtre sur la machine qui héberge les boîtes aux lettres ne sont pas construits.
- La prévention des fuites avancée (empreintes de documents, extraction des pièces jointes, clés d'API, circuits d'approbation) et celle du courrier sortant ne sont pas faites.
- Les QR codes dans les images ne sont pas lus ; les liens ne sont pas réécrits avec un contrôle au moment du clic.
Ce qui reste à prouver
Nous préférons le dire clairement.
- Le démon Postfix n'a jamais tourné dans ces essais : la file durable, STARTTLS, les limites de débit, la libération d'un message et la nouvelle tentative réelle après greylisting n'ont pas été exercés.
- Aucun vrai ClamAV, aucun vrai courrier reçu ou livré (ni port 25 ouvert, ni Gmail ou Outlook, ni IPv6), aucune vraie requête DNS ou de liste de blocage.
- Aucun corpus de spam ou d'hameçonnage, aucune mesure de performance, aucun taux de faux positifs : c'est pourquoi chaque détection est désactivée par défaut et réglable.
- Seuls Rspamd 3.8.1 et Postfix 3.8.6 ont été essayés ; la disponibilité du paquet Rspamd sur AlmaLinux et Rocky Linux (EPEL) n'a pas été vérifiée.
Cas d'usage
Protéger le courrier d'un domaine
La passerelle se place devant votre serveur de courrier ; vous essayez d'abord avec quelques messages, en quarantaine, avant d'y faire passer tout le courrier.
Repérer les fuites de données
Vous activez un détecteur à la fois (cartes, IBAN, mots-clés) et vous regardez le journal des messages avant d'agir.
Contrôler les pièces jointes
Programmes, macros et archives protégées vont en quarantaine ; vous libérez ce qui était légitime.
Ce qui est inclus, par édition
Une fonction sous licence : elle reste visible dans la console, verrouillée, sans licence.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
Pas encore essayée en conditions réelles Fonctionne dans les tests du produit, mais n'a pas encore été essayée avec le vrai service, le vrai système ou le vrai matériel. La console affiche la même mention à l'endroit où vous la configurez.
- Passerelle entrante devant votre serveur de messagerie, installée et gérée en SSH sur un serveur Linux dédié Pas encore essayée en conditions réellesPro et plus
- Antispam et anti-hameçonnage, politique des pièces jointes, antivirus facultatif, quarantaine Pas encore essayée en conditions réellesPro et plus
- Prévention des fuites de données dans les messages Pas encore essayée en conditions réellesPro et plus
- Vérification de l'expéditeur (SPF, DKIM, DMARC), greylisting, détection d'usurpation et de liens : tout est désactivé par défaut Pas encore essayée en conditions réellesPro et plus
- Jamais un relais ouvert : chaque configuration est contrôlée ; si le filtre s'arrête, le courrier est retenu, pas perdu Pas encore essayée en conditions réellesPro et plus
- Courrier sortant facultatif : relais, signature DKIM, limites d'envoi Pas encore essayée en conditions réellesPro et plus
- Docteur courrier, résumé quotidien de la quarantaine, rapports et exports Pas encore essayée en conditions réellesPro et plus
- Rien de votre courrier ne part chez un tiers par défaut ; le contenu d'un message n'est jamais dans le journal d'audit Pas encore essayée en conditions réellesPro et plus
Chaque fonction de cette liste porte la mention « pas encore éprouvée en production ». À la fin d'une licence payante, ce qui est installé continue de filtrer ; seuls l'enregistrement de la configuration, l'installation et l'application sont refusés.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.