Confidentialite¶

Les emails transportent des données de tous niveaux de classification — du planning d'équipe (Public) aux documents RH nominatifs (Confidentiel). La politique de sécurité de la messagerie doit couvrir le niveau le plus eleve.

Classification de la messagerie¶

La messagerie est classee Interne a Confidentiel dans le modèle de classification.

TLS obligatoire¶

Chiffrement en transit¶

Tout le trafic email doit etre chiffre en transit. Stalwart supporte deux modes :

Forcer TLS sur les connexions SMTP entrantes¶

# /opt/stalwart/config/config.toml

# Forcer STARTTLS sur le port 25 (serveur-a-serveur)
[session.ehlo]
require = true

[session.extensions]
requiretls = true

Forcer TLS sur les connexions sortantes¶

# Exiger TLS pour la livraison sortante
[queue.outbound.tls]
starttls = "require"
allow-invalid-certs = false

MTA-STS : annoncer la politique TLS¶

MTA-STS permet d'annoncer publiquement que votre serveur exige TLS, empechant les attaques de downgrade :

# Fichier https://mta-sts.company.io/.well-known/mta-sts.txt
version: STSv1
mode: enforce
mx: mail.company.io
max_age: 604800

TLSRPT : rapports TLS¶

_smtp._tls.company.io.  300  IN  TXT  "v=TLSRPTv1; rua=mailto:tls-reports@company.io"

Les serveurs qui tentent de vous envoyer des emails rapportent les echecs TLS. Cela permet de détecter les problèmes de certificats ou les attaques de downgrade.

Chiffrement bout en bout¶

Le TLS protège le transport mais pas le stockage. Pour les contenus Confidentiel ou Restreint, le chiffrement bout en bout (E2EE) est nécessaire.

S/MIME¶

S/MIME est le standard de chiffrement email le plus repandu en entreprise :

Déploiement S/MIME avec Vault PKI¶

# Generer un certificat S/MIME pour un utilisateur
vault write pki-email/issue/smime-user \
  common_name="alice@company.io" \
  alt_names="alice@company.io" \
  key_usage="DigitalSignature,KeyEncipherment" \
  ext_key_usage="EmailProtection" \
  ttl="365d"

PGP/GPG¶

PGP est l'alternative decentralisee (pas de PKI centralisee) :

WKD : Web Key Directory¶

WKD permet de publier les cles PGP publiques via HTTPS, facilitant la découverte automatique :

# Publication de la cle publique d'Alice
# URL : https://company.io/.well-known/openpgpkey/hu/<hash-of-alice>
# Le hash est le SHA-1 du local-part de l'adresse, encode en z-base-32

Comparaison S/MIME vs PGP¶

Audit des accès aux boites aux lettres¶

Journalisation des accès¶

Stalwart journalise toutes les opérations sur les boites aux lettres :

# Activer la journalisation detaillee
[tracing]
level = "info"
method = "stdout"

[tracing.event.mail-delivery]
enable = true

[tracing.event.imap]
enable = true

[tracing.event.auth]
enable = true

Événements audites¶

Centralisation des logs¶

# Envoi vers un collecteur syslog/Loki
[tracing]
method = "journal"  # systemd journal, collecte par Promtail/Loki

# Ou vers un endpoint OpenTelemetry
[tracing.otel]
endpoint = "http://otel-collector.monitoring.internal:4317"

Politiques de retention¶

Retention legale vs auto-suppression¶

Configuration des quotas et retention¶

# Quotas par defaut
[jmap.quota]
max-size = 5368709120  # 5 Go par boite

# Retention de la corbeille
[jmap.trash]
auto-expunge = "30d"

# Retention du dossier spam
[jmap.spam]
auto-expunge = "14d"

Legal hold¶

En cas de litige ou d'enquete, les boites aux lettres concernees doivent etre preservees sans modification ni suppression :

# Activer le legal hold sur une boite
curl -X PATCH http://localhost:8080/api/principal/alice \
  -H "Authorization: Bearer <admin-token>" \
  -H "Content-Type: application/json" \
  -d '{"quota": 0}'  # Quota 0 = pas de suppression automatique

# Exporter une boite pour archivage legal
curl -X GET "http://localhost:8080/api/store/export?account=alice" \
  -H "Authorization: Bearer <admin-token>" \
  -o alice-mailbox-export.tar.gz

Chiffrement des sauvegardes¶

Les sauvegardes des boites aux lettres contiennent toutes les données sensibles. Elles doivent etre chiffrees :

# Sauvegarde chiffree avec age (alternative moderne a GPG)
podman exec stalwart-mail \
  stalwart-mail export /tmp/backup.tar

# Chiffrer avec la cle publique de l'equipe ops
age -r age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p \
  -o /backup/stalwart-$(date +%Y%m%d).tar.age \
  /tmp/backup.tar

# Supprimer la sauvegarde non chiffree
rm /tmp/backup.tar

Isolation réseau¶

Architecture DMZ pour la messagerie¶

graph TD
    Internet --> FWext["Firewall externe"]
    FWext -->|Port 25 SMTP in<br/>Port 443 HTTPS/JMAP| DMZ
    subgraph DMZ
        Proxy["Reverse proxy"]
    end
    DMZ --> FWint["Firewall interne"]
    FWint --> Interne
    subgraph Interne["Reseau interne"]
        Stalwart["Stalwart<br/>IMAP:993<br/>SMTP:465"]
        Services["Keycloak,<br/>PostgreSQL,<br/>CoreDNS"]
    end

Regles firewall¶

Politique d'accès¶

Synthese¶

La messagerie est le service le plus sensible de l'infrastructure d'entreprise car elle transporte des données de tous niveaux de classification. La protection repose sur trois couches : TLS obligatoire en transit, chiffrement bout en bout (S/MIME) pour les contenus sensibles, et isolation réseau (DMZ pour SMTP, interne pour IMAP). Les politiques de retention et d'audit completent le dispositif. Le chapitre suivant couvre les bonnes pratiques operationnelles.